Paloalto の設定は、変更しただけでは稼働中の設定に反映されず、コミットして初めて反映されます。この仕組みを使うと、コミット前の変更を取り消したり、保存しておいた設定に戻したりできます。
この記事では、コミット・保存・戻す・ロード・エクスポート・インポートの動作を、ポリシー名を変えながら確かめます。どの操作も Device ›› セットアップ ›› 操作 の「設定の管理」から行います。
- 候補設定（Candidate Config）と実行中の設定（Running Config）の関係
- コミット前の変更を取り消す「戻す」と、コミット後に元へ戻す「ロード」の使い分け
- 設定ファイルを管理端末にエクスポートし、インポートして使う手順
PAN-OS 9.0.9-h1 で検証しています。PAN-OS 9.0 は 2022年3月1日でサポートが終了（End-of-Life）しています。画面の項目の並びや表記は、バージョンによって変わります。
候補設定と実行中の設定
Paloalto で設定を変更すると、変更はまず候補設定（Candidate Config）に入ります。この時点では、稼働中の設定や動作は変わりません。コミットを実行すると、候補設定が実行中の設定（Running Config）に反映されます。
| 設定・ファイル | 内容 |
|---|---|
| 候補設定 | 変更中の設定です。コミットするまで稼働には反映されません。自動では永続領域に保存されないので、保存もコミットもしないまま再起動すると変更は失われます。 |
| 実行中の設定 | 稼働中の設定で、ファイル名は running-config.xml です。再起動後も、この設定で起動します。 |
| .snapshot.xml | 「候補設定の保存」で上書きされる、既定のスナップショットです。「最後に保存した設定に戻します」で読み込まれます。 |
| 名前付きスナップショット | 任意の名前を付けて保存した候補設定です。既定のスナップショットとは別に残ります。 |
| 設定バージョン | コミットのたびに残る、実行中の設定の版です。 |
Cisco では、機器は起動時に startup-config を読み込みます。Paloalto では実行中の設定（running-config.xml）が稼働用と起動用の両方を兼ねるので、コミットした設定はそのまま次の起動時にも使われます。
設定の管理の画面
バックアップとリストアの操作は、Device ›› セットアップ ›› 操作 の「設定の管理」にまとまっています。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 1戻す | 最後に保存した 設定に戻します 実行中の 設定に戻します |
| 2保存 | 名前付き 設定スナップショットの保存 候補 設定の保存 |
| 3ロード | 名前付き 設定スナップショットのロード 設定バージョンのロード |
| 4エクスポート | 名前付き 設定スナップショットのエクスポート 設定バージョンのエクスポート デバイス状態のエクスポート |
| 5インポート | 名前付き 設定スナップショットのインポート デバイス状態のインポート |
| No. | 項目 | この記事で使う操作 |
|---|---|---|
| 1 | 戻す | コミット前の候補設定を、最後に保存した設定（.snapshot.xml）に戻します。 |
| 2 | 保存 | 候補設定を .snapshot.xml や名前付きスナップショットに保存します。稼働中の設定は変わりません。 |
| 3 | ロード | 名前付きスナップショットを候補設定に読み込みます。稼働に反映するにはコミットが必要です。 |
| 4 | エクスポート | 実行中の設定や名前付きスナップショットを、XML ファイルとして管理端末にダウンロードします。 |
| 5 | インポート | 管理端末の設定ファイルを、名前付きスナップショットとして取り込みます。 |
実行中の設定をエクスポートする
いちばん手軽なバックアップは、実行中の設定（running-config.xml）を管理端末にダウンロードしておくことです。
エクスポートの画面を開く
エクスポート ›› 名前付き 設定スナップショットのエクスポート をクリックします。
running-config.xml を選ぶ
名前の一覧から running-config.xml を選び、OK をクリックします。現在稼働中で、次の起動時にも読み込まれる設定ファイルが、そのままダウンロードされます。
| 1名前 | 選択肢candidate-config Named_config__20210214-01 Named_config__20210214-02 autosave-pre-cfg-20201031.xml running-config.xml |
コミットの動作
ポリシー名が LAN_to_Internet の状態から、名前を Name_Changed に変えてコミットし、候補設定と実行中の設定の変わり方を見ます。
ポリシー名を変更する
セキュリティポリシーの名前を LAN_to_Internet から Name_Changed に変更します。
| 名前 | タグ | タイプ | ゾーン | |
|---|---|---|---|---|
| 1 | 1Name_Changed | none | universal | LAN |
| 2 | Internet_to_LAN | none | universal | Internet |
| 3 | SSLVPN-to-Internet | none | universal | SSL-VPN |
この状態で変わったのは、候補設定だけです。実行中の設定のポリシー名は、LAN_to_Internet のままです。
コミットする
画面右上の「コミット」をクリックします。コミットの確認画面が開くので、コミットする範囲（今回はポリシーに関する policy-and-objects）を確かめて「コミット」をクリックします。
| コミットを実行すると実行中の設定がコミット スコープで上書きされます。 | |||||
| 対象 | ◉ Commit すべての変更○ Commit 変更の実行者 | ||||
| 1Commit スコープ |
| ||||
結果を確かめる
コミットの処理が終わると、状態の画面が表示されます。結果が「成功」になっていることを確かめて、「閉じる」をクリックします。
| 操作 | コミット |
| 状態 | 完了 |
| 1結果 | 成功 |
| 詳細 | Configuration committed successfully |
これで、実行中の設定のポリシー名も Name_Changed になりました。稼働中の設定だけでなく、次の起動時に使われる設定も変わっています。
コミット前の変更を取り消す（保存と戻す）
コミット前であれば、候補設定を「最後に保存した設定」に戻せます。ここでは、ポリシー名が LAN_to_Internet の状態で候補設定を保存しておき、名前を Name_Changed に変えたあとで元に戻します。
候補設定を保存する
保存 ›› 候補 設定の保存 をクリックし、確認のダイアログで「はい」をクリックします。候補設定が .snapshot.xml に保存され、そのメッセージが表示されます。保存しても、稼働中の設定は変わりません。
| 候補設定を保存します。続行しますか? |
| 2Config saved to .snapshot.xml |
.snapshot.xml は、「最後に保存した設定」として扱われます。
ポリシー名を変更する
ポリシー名を LAN_to_Internet から Name_Changed に変更します。コミットはしません。
最後に保存した設定に戻す
戻す ›› 最後に保存した 設定に戻します をクリックし、確認のダイアログで「はい」をクリックします。候補設定が .snapshot.xml の内容で上書きされます。
| 最後に保存した設定に戻します。続行しますか? |
| 2Config loaded from .snapshot.xml |
ポリシー名を確かめる
ポリシーの一覧を見ると、名前が LAN_to_Internet に戻っています。
| 名前 | タグ | タイプ | ゾーン | |
|---|---|---|---|---|
| 1 | 1LAN_to_Internet | none | universal | LAN |
| 2 | Internet_to_LAN | none | universal | Internet |
戻したのは候補設定です。保存した内容を実行中の設定にも反映させたいときは、続けてコミットします。また、戻す ›› 実行中の 設定に戻します を使うと、前回のコミット以降の変更をすべて取り消して、候補設定を running-config.xml の内容に戻せます。
コミット後に元へ戻す（ロード）
コミットしてしまった設定を元に戻すには、保存しておいた設定を候補設定にロードしてから、もう一度コミットします。
名前付きスナップショットを保存する
変更の前に、リストア用の設定を保存しておきます。保存 ›› 名前付き 設定スナップショットの保存 をクリックし、任意の名前を入力して OK をクリックします。日付を入れておくとあとで探しやすく、今回は backup_20210214 にしました。
| 1名前 | backup_20210214 |
| 3Config saved to backup_20210214 |
変更してコミットする
ポリシー名を LAN_to_Internet から Name_Changed に変更し、コミットまで実行します。候補設定と実行中の設定のどちらも Name_Changed になります。ここから、ポリシー名を LAN_to_Internet に戻します。
名前付きスナップショットをロードする
ロード ›› 名前付き 設定スナップショットのロード をクリックし、名前で先ほど保存した backup_20210214 を選んで OK をクリックします。ほかの項目は既定のままにしています。
| 1名前 | backup_20210214 |
| 復号キー | — |
| ☐ 共有オブジェクトのロード ☐ 共有ポリシーのロード ☐ 選択した名前付き設定のルール UUID の再生成 |
| 3構成を読み込み中です。タスクマネージャーのステータスを確認してください。 タスクが完了したらページを再読み込みする必要があります。 |
ロードは、タスクとして裏で進みます。画面右下の「タスク」をクリックすると、タスクマネージャでロードの状況を確認できます。
| タイプ | 状態 |
|---|---|
| 1ロード | 完了 |
| コミット | 完了 |
ポリシー名を確かめてコミットする
ポリシーの一覧を見ると、名前が LAN_to_Internet に戻っています。ただし、ロードで戻ったのは候補設定だけで、実行中の設定は Name_Changed のままです。
コミットを実行すると、実行中の設定も LAN_to_Internet に戻ります。
コミットのたびに、実行中の設定は版（設定バージョン）として残ります。名前付きスナップショットを保存していなくても、ロード ›› 設定バージョンのロード で以前の版を候補設定に読み込み、コミットすれば元に戻せます。
エクスポートとインポート
ここまでは、筐体の中に保存したファイルを使いました。保存したファイルを管理端末にエクスポートしておけば、あとでインポートしてリストアに使えます。
名前付きスナップショットをエクスポートする
エクスポート ›› 名前付き 設定スナップショットのエクスポート をクリックし、保存した backup_20210214 を選んで OK をクリックします。設定ファイルが管理端末にダウンロードされます。
| 1名前 | 選択肢candidate-config Named_config__20210214-01 Named_config__20210214-02 autosave-pre-cfg-20201031.xml backup_20210214candidate-config running-config.xml |
設定ファイルをインポートする
インポート ›› 名前付き 設定スナップショットのインポート をクリックします。「参照」で管理端末に保存した設定ファイルを選び、OK をクリックするとアップロードが始まります。終わると、保存されたことを示すメッセージが表示されます。
| 1ファイルのインポート | backup_20210214 参照… |
| 3backup_20210214 saved |
インポートしたファイルは、名前付きスナップショットとして保存されます。リストアするときは、前の節と同じように ロード ›› 名前付き 設定スナップショットのロード で候補設定に読み込み、コミットします。
まとめ
| やりたいこと | 操作 | 稼働に反映するには |
|---|---|---|
| 稼働中の設定を手元に残す | エクスポート ›› 名前付き 設定スナップショットのエクスポート で running-config.xml | ― |
| 候補設定を筐体に残す | 保存 ›› 候補 設定の保存（.snapshot.xml）保存 ›› 名前付き 設定スナップショットの保存 | 保存だけでは稼働は変わらない |
| コミット前の変更を取り消す | 戻す ›› 最後に保存した 設定に戻します戻す ›› 実行中の 設定に戻します | 保存した内容を反映するならコミット |
| コミット後に元へ戻す | ロード ›› 名前付き 設定スナップショットのロードロード ›› 設定バージョンのロード | コミット |
| 手元のファイルから戻す | インポート したあと ロード | コミット |
保存・戻す・ロードは、どれも候補設定に対する操作です。稼働中の設定を変えるのはコミットだけ、と覚えておくと整理しやすくなります。
コメント