Шаг 3. Установка обновлений на межсетевом экране

Как применить лицензии на межсетевом экране, смотрите в прошлой статье.

Чтобы быть уверенным, что вы всегда защищены от всевозможных угроз (в том числе еще не известных), вы должны постоянно обновлять свой межсетевой экран с помощью последних обновлений, публикуемых Palo Alto Networks. Доступ к Dynamic Content зависит от того, какие подписки были приобретены. Содержание каждой базы обновлений смотрите здесь.

Выполните следующие действия, чтобы установить Dynamic Updates (далее вы сможете устанавливать обновления по расписанию):

Шаг 1. Убедитесь, что межсетевой экран имеет доступ к серверу обновлений.

1. По умолчанию межсетевой экран получает content updates при обращается к серверу по адресу updates.paloaltonetworks.com. Если межсетевой экран не имеет доступ к Интернету, настройте адрес staticupdates.paloaltonetworks.com.
2. (Необязательно) Нажмите «Verify Update Server Identity», чтобы дополнительно проверить, что сертификат SSL сервера подписан доверенным центром.
3. (Необязательно) Если для доступа к серверу обновлений необходимо использовать прокси-сервер, введите следующие значения в окне Proxy Server:

• Server — IP address или hostname прокси-сервера.
• Port — Port прокси-сервера. Диапазон: 1-65535.
• User — Username для доступа к серверу.
• Password — Пользовательский пароль, чтобы получить доступ к прокси-серверу. Повторно введите пароль, чтобы подтвердить его.

Шаг 2. Проверьте последние content updates.

Выберите Device --> Dynamic Updates и нажмите Check Now (в нижнем левом углу), чтобы проверить загружены ли последние обновления. В столбце Action можно увидеть, какие действия можно сделать с обновлениями:

• Download - указывает, что доступна новая база обновления. Нажмите на Download, чтобы начать загрузку файла непосредственно в межсетевой экран. После успешной загрузки кнопка в столбце Action изменится на Install.

Вы не сможете загрузить базу Antivirus, пока не установите Application and
Threats.

• Revert -  указывает, что вы можете вернуться к ранее установленной версии обновлений.

Шаг 3. Установите content updates.

Установка может занять до 10 минут на межсетевом экране PA-220 и до двух  минут на межсетевом экране серии PA-5200, PA-7000 или версий VM.

Нажмите Install в колонке Action. Когда установка завершится, в столбце Currently Installed появится галочка.

Шаг 4. Настройте расписание для каждого content update.

Повторите данный шаг для каждой базы, для которой вы хотите настроить расписание.

Настройте расписание каждого обновление на разное время, поскольку        межсетевой экран может загружать только одно обновление за раз. Если вы запланируете загрузку всех обновлений в течение одного и того же времени,   только первая загрузка удастся.

1. Установите расписание для каждого типа обновления, щелкнув на None.
2. Укажите, как часто вы хотите, чтобы происходили обновления, выбрав значение в раскрывающемся списке Recurrence. Скорость обновления зависит от вида обновления (обновление WildFire доступны Every Minute, Every 15 Minutes, Every 30 minutes, или Every Hour, тогда как обновления Applications and Threats могут быть запланированы Weekly, Daily, Hourly, или Every 30 Minutes, а обновления Antivirus могет быть запланировано Hourly, Daily, или Weekly).
   Поскольку новые сигнатуры WildFire обновляются каждые пять минут, настройте
   межсетевой экран на получение Every Minute, чтобы получать последние сигнатуры в
   течение минуты после их выпуска.
3. Укажите Time и Day, когда вы хотите, чтобы происходили обновления.
4. Укажите, хотите ли вы, чтобы межсетевой экран только загружал Download Only или, в качестве best practice, Download And Install.
5. Укажите как быстро устанавливать обновления сразу после выпуска, в поле Threshold (Hours).
   

   

6. Нажмите ОК, чтобы сохранить настройки.
7. Нажмите ОК, чтобы зафиксировать новые настройки.

Шаг 5. Обновите прошивку межсетевого экрана.

Всегда обновляйте Content Update перед обновлением PAN-OS. Каждая версия PAN-OS имеет минимальную поддерживаемую версию Content Update.

1. Просмотрите Release Notes.
2. Обновите ПО PAN-OS.

Рекомендуемые версии вы можете найти по данной ссылке.

Как выбрать версию для установки. Как вы видите, существует 3-4 категории комментариев.
- Preferred release. И Later release preferred. - тот, который рекомендуем. В таких стоит обращать внимание на фразы например «Note: Latency, jitter, and packet loss data was not updated when monitoring SD-WAN link performance. Refer to PAN-144073 in 9.1.2-h1 addressed issues.». Что значит, если вы используете SD-WAN link performance monitoring, лучше данную версию не устанавливать.
- Later release preferred for customers that require 9.1 feature or platform. - что касается версии 9.1.0 сейчас, то ее рекомендуют устанавливать только в случае если вам очень необходимы фичи новой версии.
- New release, currently monitoring. - те версии, которые еще в процессе мониторинга, точно сказать рекомендуемые или нет в такой момент сложно. Поэтому стоит их устанавливать только в случае если в ней выпущен конкретный фикс и данная прошивка решает какую-то вашу конкретную проблему. Например, эта статья говорит об исправлениях, которые были выпущены в 9.1.2. А эта статья говорит о том, какие баги специфичны для 9.0.5.
- Not recommended – в случае, если прошивка точно не рекомендуема.

В следующей статье вы сможете узнать как сконфигурировать интерфейсы и зоны, для микросегментации сети.