Paloalto は、DNS クライアント・NTP クライアントとして動くことができます。この記事では、DNS サーバーに Google Public DNS の 8.8.8.8 と 8.8.4.4 を設定し、NTP サーバー time.google.com と時刻を同期します。あわせてタイムゾーンを Japan に変更し、CLI で名前解決と時刻同期を確かめます。
- DNS サーバーと NTP サーバーを設定する
- タイムゾーンを Japan に変更する
- CLI（ping host／show ntp／show clock）で動作を確かめる
PAN-OS 9.0.9-h1 で検証しています。PAN-OS 9.0 は 2022年3月1日でサポートが終了（End-of-Life）しています。画面の項目の並びや表記は、バージョンによって変わります。
DNS サーバーを設定する
Device ›› セットアップ ›› サービス で、「サービス」の歯車をクリックします。「サービス」タブの DNS 設定で、プライマリ DNS サーバーに 8.8.8.8、セカンダリ DNS サーバーに 8.8.4.4 を設定します。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 更新サーバー | updates.paloaltonetworks.com ☑ 更新サーバー ID の確認 |
| DNS | ◉ サーバー ○ DNS プロキシ オブジェクト |
| 1プライマリ DNS サーバー | 8.8.8.8 |
| 2セカンダリ DNS サーバー | 8.8.4.4 |
| Minimum FQDN Refresh Time (秒) | 30 |
| FQDN Stale Entry Timeout (分) | 1440 |
NTP サーバーを設定する
続けて、同じ画面の「NTP」タブで、プライマリ NTP サーバーの「NTP サーバー アドレス」に time.google.com と入力し、OK をクリックします。
| 1NTP サーバー アドレス | time.google.com |
| 認証タイプ | なし |
| NTP サーバー アドレス | |
| 認証タイプ | なし |
DNS の設定と合わせて、「サービス」の欄は次のようになります。
| 更新サーバー | updates.paloaltonetworks.com |
| 更新サーバー ID の確認 | ☑ |
| DNS | サーバー |
| 1プライマリ DNS サーバー | 8.8.8.8 |
| セカンダリ DNS サーバー | 8.8.4.4 |
| Minimum FQDN Refresh Time (秒) | 30 |
| FQDN Stale Entry Timeout (分) | 1440 |
| 2プライマリ NTP サーバー アドレス | time.google.com |
| プライマリ NTP サーバー認証タイプ | None |
タイムゾーンを設定する
Device ›› セットアップ ›› 管理 で、「一般設定」の歯車をクリックします。表示された画面で、タイム ゾーンを Japan に変更します。
| ホスト名 | FW-1 |
| 1タイム ゾーン | Japan |
| 表示言語 | Japanese |
| 日付 | 2020/10/31 |
| 時間 | 20:29:51 |
設定が終わったら、コミットします。
動作を確かめる
Paloalto の CLI で確かめます。
名前解決と疎通を確かめる
まず、Paloalto から time.google.com に疎通できることを確かめます。
FW-1
admin@FW-1> ping host time.google.com PING time.google.com (216.239.35.8) 56(84) bytes of data. 64 bytes from time3.google.com (216.239.35.8): icmp_seq=1 ttl=93 time=37.2 ms 64 bytes from time3.google.com (216.239.35.8): icmp_seq=2 ttl=93 time=37.2 ms 64 bytes from time3.google.com (216.239.35.8): icmp_seq=3 ttl=93 time=37.2 ms 64 bytes from time3.google.com (216.239.35.8): icmp_seq=4 ttl=93 time=37.2 ms ^C --- time.google.com ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3003ms rtt min/avg/max/mdev = 37.200/37.219/37.242/0.236 ms
time.google.com が 216.239.35.8 に名前解決され、応答が返っています。名前解決と NTP サーバーへの疎通は問題ありません。
NTP サーバーとの同期を確かめる
次に、NTP サーバーと同期しているかを確かめます。
FW-1
admin@FW-1> show ntp
NTP state:
NTP synched to time.google.com
NTP server: time.google.com
status: synched
reachable: yes
authentication-type: none
status が synched で、同期できていることがわかります。
現在の日時を確かめる
現在の日時は、次のように確かめられます。タイムゾーンが JST（日本標準時）になっています。
FW-1
admin@FW-1> show clock
Sun Nov 1 15:53:28 JST 2020
ナレッジによると、Paloalto が NTP サーバーに問い合わせる間隔は、最小 64 秒・最大 1024 秒の範囲で、ファイアウォールでは変更できません。また、time.google.com はうるう秒を「リープスミア（leap smear）」で処理するため、Google はスミアする NTP サーバーとしない NTP サーバーを混ぜて使わないよう勧めています。セカンダリ NTP サーバーを設定するときは注意してください。
まとめ
| 設定 | 場所 | 内容 |
|---|---|---|
| DNS サーバー | Device ›› セットアップ ›› サービス（サービスタブ） | プライマリ 8.8.8.8、セカンダリ 8.8.4.4 |
| NTP サーバー | Device ›› セットアップ ›› サービス（NTP タブ） | プライマリ time.google.com |
| タイムゾーン | Device ›› セットアップ ›› 管理（一般設定） | Japan |
| 確認 | CLI | ping host／show ntp／show clock |
コメント