Palo Alto Networks NGFW, Palo Alto Networks firmasının yeni nesil güvenlik duvarı ailesidir ve tüm modeller PAN-OS işletim sistemini çalıştırır. Bu cihazlar trafiği yalnızca IP ve porta göre değil, uygulamaya (App-ID), kullanıcıya (User-ID) ve içeriğe (Content-ID) göre sınıflandırıp güvenlik politikasını bu bilgilere göre uygular.
Bu yazıda PAN-OS nedir, PA-400, PA-1400 ve PA-3400 serilerinin resmi veri sayfası değerleri, App-ID, User-ID ve Content-ID kavramları, abonelikler ve Panorama ile Strata Cloud Manager yönetim seçeneklerini anlatıyoruz. Temel kavramlar için güvenlik duvarı (firewall) nedir ve UTM ve NGFW nedir yazılarına bakabilirsiniz.
PAN-OS nedir?
PA-400 veri sayfasına göre PAN-OS, tüm Palo Alto Networks NGFW'lerinde çalışan aynı yazılımdır. Tüm trafiği uygulama, tehdit ve içerik açısından sınıflandırır ve bu trafiği konumdan veya cihaz türünden bağımsız olarak kullanıcıya bağlar. Güvenlik politikaları bu nedenle "hangi port açık" yerine "hangi kullanıcı hangi uygulamayı kullanabilir" mantığıyla yazılır.
Veri sayfası, cihazların single-pass (tek geçiş) mimariyle çalıştığını anlatır: ağ işlemleri, politika araması, uygulama çözümleme ve imza eşleştirme tek geçişte yapılır. Amaç, güvenlik servisleri açıldığında performansın öngörülebilir kalmasıdır. Güncel veri sayfalarındaki ölçümler PAN-OS 12.1 ile yapılmıştır.
App-ID, User-ID ve Content-ID
| Teknoloji | Ne yapar? |
|---|---|
| App-ID | Uygulamaları port, protokol veya şifrelemeden bağımsız olarak protokol çözümleme, sezgisel yöntemler ve imza eşleştirme ile tanır. |
| User-ID | Ağdaki kullanıcıları çeşitli tekniklerle tanır; trafiği IP adresi yerine kullanıcı ve gruba bağlar. |
| Content-ID | Güvenlik profilleriyle içerik denetimi yapar: antivirüs, anti-spyware, zafiyet koruması, URL filtreleme, dosya engelleme, veri filtreleme. |
App-ID
App-ID, veri sayfasındaki ifadeyle tüm uygulamaları tüm portlarda, her zaman, tam 7. katman denetimiyle tanımaya çalışır. İsteğe bağlı App-ID Cloud Engine (ACE) servisi, SaaS uygulamaları için talep üzerine yeni App-ID'ler sağlar. Böylece "443 portunu aç" yerine "yalnızca belirli SaaS uygulamasına izin ver" gibi kurallar yazılabilir.
User-ID
PAN-OS belgesine göre User-ID, User-ID agent'ı aracılığıyla sunucu loglarındaki oturum açma olaylarını izler ve kimlik doğrulama servislerinden gelen syslog mesajlarını dinler. Eşlenemeyen IP adresleri için Authentication Policy ile HTTP istekleri bir Authentication Portal giriş sayfasına yönlendirilebilir. Grup üyelikleri ise doğrudan LDAP dizin sunucusuna bağlanarak ya da XML API entegrasyonuyla alınır.
Content-ID ve güvenlik profilleri
İçerik denetimi, güvenlik kurallarına eklenen güvenlik profilleriyle yapılır. PAN-OS belgesinde listelenen profil türleri: Antivirus, Anti-Spyware, AI security, Vulnerability Protection, URL Filtering, Data Filtering, File Blocking, WildFire Analysis, DoS Protection ve Zone Protection. Bu profillerin çoğu güncel imza ve bulut verisi için ilgili aboneliği gerektirir. IDS/IPS kavramının genel anlatımı için IDS/IPS nedir yazısına bakabilirsiniz.
PA-400 serisi (şube ve küçük ofis)
PA-400 serisi; PA-410, PA-415, PA-415-5G, PA-440, PA-445, PA-450, PA-455, PA-455-5G ve PA-460 modellerinden oluşur. Veri sayfası bu serinin dağıtık kurum şubeleri, perakende noktaları ve orta ölçekli işletmeler için tasarlandığını, masaüstü form faktöründe ve fansız (sessiz) olduğunu belirtir. Aşağıda seçili modellerin değerleri var:
| Model | Firewall (appmix) | Threat Prevention | IPsec VPN | Eşzamanlı oturum |
|---|---|---|---|---|
| PA-410 | 1.4 Gbps | 0.8 Gbps | 0.5 Gbps | 64.000 |
| PA-415 | 1.5 Gbps | 0.8 Gbps | 0.5 Gbps | 64.000 |
| PA-440 | 2.4 Gbps | 1.2 Gbps | 1.1 Gbps | 200.000 |
| PA-445 | 2.7 Gbps | 1.25 Gbps | 1.1 Gbps | 200.000 |
| PA-450 | 3.3 Gbps | 2.1 Gbps | 1.7 Gbps | 300.000 |
| PA-455 | 3.6 Gbps | 2.3 Gbps | 1.8 Gbps | 300.000 |
| PA-460 | 4.2 Gbps | 3.0 Gbps | 2.3 Gbps | 400.000 |
Veri sayfasının notlarına göre firewall throughput App-ID ve loglama açıkken; Threat Prevention ise App-ID, IPS, antivirüs, anti-spyware, WildFire, DNS Security, dosya engelleme ve loglama açıkken appmix trafikle ölçülür. Port tarafında PA-410 yedi adet 1G RJ45, PA-440, PA-450 ve PA-460 sekiz adet 1G RJ45 sunar. PA-415, PA-445 ve PA-455 modellerinde PoE portlar vardır (toplam PoE bütçesi 91 W). PA-415-5G ve PA-455-5G dahili 5G hücresel modem içerir.
PA-1400 serisi (şube ve orta ölçek)
PA-1400 serisi PA-1410 ve PA-1420 modellerinden oluşur; veri sayfası bu seriyi şubeler ve orta ölçekli işletmeler için konumlandırır. Her iki model 1U, 19 inç raf tipidir.
| Özellik | PA-1410 | PA-1420 |
|---|---|---|
| Firewall throughput (appmix) | 8.5 Gbps | 9.5 Gbps |
| Threat Prevention throughput | 4.5 Gbps | 6.2 Gbps |
| IPsec VPN throughput | 4.1 Gbps | 5.6 Gbps |
| Maksimum eşzamanlı oturum | 945.000 | 1.4 milyon |
| Saniyede yeni oturum | 100.000 | 140.000 |
| Sanal sistem (temel/maks.) | 1/6 | 1/6 |
PA-3400 serisi (yüksek hızlı internet çıkışı)
PA-3400 serisi PA-3410, PA-3420, PA-3430 ve PA-3440 modellerinden oluşur. Veri sayfası bu seriyi yüksek hızlı internet ağ geçidi (internet gateway) kurulumları için tanımlar. Tüm modellerde 12 adet 1G/2.5G/5G/10G bakır, 10 adet SFP/SFP+ ve 4 adet 25G SFP28 port bulunur; PA-3430 ve PA-3440 ayrıca 2 adet 40G/100G QSFP28 port ekler.
| Özellik | PA-3410 | PA-3420 | PA-3430 | PA-3440 |
|---|---|---|---|---|
| Firewall throughput (appmix) | 14 Gbps | 19 Gbps | 29 Gbps | 35 Gbps |
| Threat Prevention throughput | 7.5 Gbps | 10 Gbps | 15 Gbps | 20 Gbps |
| IPsec VPN throughput | 6.6 Gbps | 9.9 Gbps | 12 Gbps | 14.5 Gbps |
| Maksimum eşzamanlı oturum | 1.4 milyon | 2.2 milyon | 2.5 milyon | 3 milyon |
Abonelikler (Cloud-Delivered Security Services)
Palo Alto Networks güvenlik servislerini "Cloud-Delivered Security Services" (CDSS) adıyla abonelik olarak sunar. Resmi abonelik listesinde öne çıkanlar:
| Abonelik | Kısa açıklama (resmi belgeye göre) |
|---|---|
| Threat Prevention | Antivirüs, anti-spyware (komuta-kontrol) ve zafiyet koruması. |
| Advanced Threat Prevention | Kaçamak komuta-kontrol tehditleri için bulut tabanlı satır içi tespit motoru ekler. |
| Advanced URL Filtering | Web trafiği için bulut tabanlı makine öğrenmesi motoru; URL Filtering artık ayrı abonelik olarak satılmıyor. |
| WildFire / Advanced WildFire | Zararlı yazılım analizi; temel WildFire Threat Prevention ile gelir, Advanced sürüm çalışma zamanı bellek analizi ekler. |
| DNS Security / Advanced DNS Security | DNS tabanlı tehditlere karşı gelişmiş sinkhole ve ele geçirilmiş alan adı tespiti. |
| GlobalProtect | Mobil kullanıcı ve büyük ölçekli VPN; HIP kontrolü gibi gelişmiş özellikler lisans ister. |
| SD-WAN, Device Security, Enterprise DLP, SaaS Security Inline | Yol seçimi, IoT envanteri, hassas veri koruması ve SaaS görünürlüğü. |
| Strata Logging Service | Bulut tabanlı merkezi log saklama. |
Yönetim: web arayüzü, Panorama ve Strata Cloud Manager
Tek bir cihaz kendi web arayüzü ve CLI'ı ile yönetilebilir. Çok sayıda cihaz için iki merkezi seçenek vardır:
- Panorama: PAN-OS belgesine göre güvenlik duvarlarını merkezden yapılandırma, yönetme ve izleme aracıdır. Bir sanal appliance ve M-200, M-300, M-500, M-600, M-700 donanım modelleri olarak sunulur.
- Strata Cloud Manager: veri sayfasına göre NGFW'ler ve SASE dahil tüm uygulama noktalarında yapılandırma ve politika yönetimi yapan, yapay zekâ destekli bulut tabanlı yönetim çözümüdür. Gölgede kalan ve gereğinden geniş kuralları tespit etme gibi analizler sunar.
PA-400 veri sayfası ayrıca çok sayıda cihazın kurulumu için isteğe bağlı Zero Touch Provisioning (ZTP) desteğinden ve Active/Active ile Active/Passive yüksek erişilebilirlik modlarından söz eder.
Sınırlamalar ve alternatifler
Güvenlik servislerinin güncel kalması abonelik süresine bağlıdır ve yönetim mantığı (uygulama ve kullanıcı tabanlı politika) klasik port tabanlı firewall'lara alışmış ekipler için öğrenme süresi gerektirir. Aynı kategoride FortiGate, Cisco Secure Firewall, Check Point Quantum Spark ve Sophos XGS gibi aileler bulunur; açık kaynak tarafında pfSense ve OPNsense vardır. Sanal sürüm için VM-Series yazısına bakabilirsiniz.
Sık Sorulan Sorular
PAN-OS nedir?
PAN-OS, tüm Palo Alto Networks NGFW cihazlarında ve sanal sürümlerinde çalışan işletim sistemidir. App-ID, User-ID ve Content-ID gibi özellikler PAN-OS'un parçasıdır.
PA-410 ile PA-440 arasındaki fark nedir?
Veri sayfasına göre PA-410 1.4 Gbps firewall ve 0.8 Gbps Threat Prevention değerine, 7 adet 1G portuna sahiptir; PA-440 ise 2.4 Gbps firewall, 1.2 Gbps Threat Prevention değeri ve 8 adet 1G port sunar. Eşzamanlı oturum sayısı da 64.000'e karşı 200.000'dir.
Palo Alto firewall fiyatı ne kadar?
Fortinet ve Palo Alto Networks herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; cihaz modeline, abonelik paketine ve süresine göre değişir.
Panorama zorunlu mu?
Hayır. Tek bir cihaz kendi arayüzüyle yönetilebilir. Panorama veya Strata Cloud Manager, çok sayıda cihazda tutarlı politika ve merkezi görünürlük gerektiğinde kullanılır.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Firewall nedir · UTM ve NGFW nedir · IDS/IPS nedir · FortiGate nedir · Sanal firewall · Cisco Secure Firewall · VPN nedir