一、 前言：為什麼是 Palo Alto？（以及為什麼我的錢包在哭）
某天早上，老大走過來，手裡拿著一杯星巴克，用那種「我剛看了一篇 CIO 雜誌」的眼神看著你說：「欸，我們家的 Forti 還是 CheckPoint 是不是該換了？聽說那個 Palo Alto (PA) 很猛，你評估一下。」
身為工程師，你心裡的第一個念頭通常是：「喔，那是防火牆界的勞斯萊斯耶！」 然後第二個念頭是：「靠，那預算審核時，我可能要把靈魂賣給採購部才過得了。」
選擇 Palo Alto Networks（以下簡稱 PA）就像是你想把家裡的巷口警衛換成復仇者聯盟。他很強，他能看穿每個路人的底褲（應用程式識別），但他吃資源也吃錢。為了不讓你在評估報告寫完後被財務部祭旗，這份評估需求指南請收好。
二、 需求評估的第一步：照鏡子（釐清現狀）
在看 PA 的規格表之前，你得先看看自家的流量。這就像買西裝，你不能只看模特兒帥，你要看自己肚子有多大。
1. 吞吐量（Throughput）的「誠實豆沙包」
規格表上的吞吐量通常是在實驗室、無干擾、完美狀態下測出來的。如果你看到規格寫 10 Gbps，請自動打個 6 折。
關鍵指標： 開啟 Threat Prevention (TP)、WildFire 和 SSL Decryption 後的性能。
幽默心法： 沒開功能的 PA 就像是沒裝子彈的坦克，雖然還是能撞人，但那是浪費。我們要評估的是「全功能開啟後，這台機器會不會熱到可以煎蛋」。
2. 連線數（Sessions）與每秒新增連線（CPS）
別只看總連線數。如果你的公司有一堆喜歡刷網頁、玩 API 的開發者，或者是有一堆 IoT 設備，那 CPS (Connections Per Second) 才是決定你半夜會不會被監控警報吵醒的關鍵。
三、 PA 的核心靈魂：App-ID 與使用者辨識
如果你換了 PA 卻還是在寫「來源 IP 往 目標 IP」這種傳統規則，那你真的不如去買台兩萬塊的家用路由器。
1. App-ID：別再跟我說 Port 號
在 PA 的世界裡，Port 80 不代表 HTTP，它可能是某個偽裝成網頁流量的翻牆軟體。
評估點： 你的環境中有多少「非標準」應用程式？PA 對於這些應用的辨識率如何？
紀錄建議： 寫下目前防火牆無法阻擋的「幽默應用」，例如：「明明鎖了 Facebook，員工卻能透過某種奇怪的 Proxy 看貓咪影片」。
2. User-ID：誰是那個流量殺手？
當老闆問你：「是誰把公司的頻寬吸乾的？」
傳統回答： 「報告，是 192.168.1.105。」（然後你要去查 DHCP 紀錄查半天）。
PA 回答： 「報告，是行銷部的阿強，他在看 4K 直播。」
評估需求： 你的 AD (Active Directory) 夠乾淨嗎？你有沒有辦法把 IP 與真實人名掛勾？這在 PA 評估中是加分項。
四、 那些「選配」其實是「標配」的授權（License）
買 PA 最痛苦的不是買硬體，而是那個像訂閱 Netflix 一樣的授權費。
Threat Prevention (TP)： 防病毒、防入侵（IPS）。不買這個，你買 PA 幹嘛？
WildFire： 雲端沙箱。專治那些「長得不像病毒的病毒」。
URL Filtering (PANDB)： 阻止員工去色情網站或釣魚網站。
GlobalProtect： 這是遠距辦公（WFH）的神器，VPN 的終極進化版。
工程師的 OS： 評估時一定要把這些授權算進去，否則你買回來的只是一個昂貴的鐵盒子，功能比你家的微波爐還少。
五、 實戰評估：PoC (Proof of Concept) 是唯一的真理
不要相信業務員的嘴，要相信你的數據。
如何優雅地進行 PoC？
側掛（Tap Mode）： 這是最安全的。把流量複製一份給 PA，看它能抓到多少目前的防火牆漏掉的髒東西。
觀察重點： 看看它的 Panorama（集中管理系統）。如果你們公司要買超過兩台 PA，沒買 Panorama 簡直是自我虐待。那介面美到你會想在上面寫詩，比起傳統那種像 DOS 的指令介面好太多了。
六、 向上管理：如何說服老闆掏錢？
這是整篇最難的部分。當你拿著一張可以買一台賓士的報價單走進辦公室時，你需要的不是技術指標，而是「恐懼、確定與懷疑 (FUD)」。
錯誤說法： 「老闆，這台機器的 L7 辨識能力很強，支援 ML$驅動的防禦。」（老闆心裡想：聽不懂，下一位。）
正確說法： 「老闆，現在駭客都從加密流量進來，舊的防火牆像是有洞的紗窗。換了 PA，我們就像是給公司裝了 X 光掃描機，連蒼蠅帶病毒都飛不進來。而且萬一出事，這牌子是業界標竿，我們流程絕對沒問題。」
關鍵字：風險規避、業界標準、自動化。
不過老實說用講的有時老闆沒感覺，您要跟老闆說，斷線一小時你會損失多少產能？或是斷過一次，大部份的老闆都會換！但前提是有提過更更換老闆不同意～不然公司就沒有您的位置了～這是很現實的～
七、 結論與自我提醒
換防火牆是一場馬拉松，不是百米衝刺。PA 雖然好用，但它的設定邏輯與傳統防火牆大不相同（例如：所有的政策都是先看 Zone，再看 App）。
最後的工程師碎碎念：
一定要買高可用性 (HA)： 如果你不想在韌體更新失敗時，全公司的人排隊在你背後施壓，買兩台是基本人權。
記憶體要加滿（如果是虛擬機版本）： PA 很吃記憶體，不要在這種地方省錢。
心態建設： 換完之後，你可能會變得很忙，因為 PA 會告訴你一堆以前你不知道的「安全威脅」。這就是所謂的「知易行難，眼不見為淨」。
八、 我的工程師筆記總結表
| 評估項目 | 重點（白話文） | 幽默指數 |
| 硬體型號 | 不要只看數字，要看開了功能後的「殘餘價值」。 | ⭐⭐⭐ |
| SSL 拆解 | 現代流量 90% 是加密的，不拆開看就像閉著眼開車。 | ⭐⭐⭐⭐⭐ |
| 日誌儲存 | 紀錄很重要，否則出事時你只能對著螢幕發呆。 | ⭐⭐⭐ |
| 報價單 | 看到數字時請深呼吸，那是技術的重量（錢的味道）。 | ⭐⭐⭐⭐⭐ |
希望這篇筆記能幫你在這場「更換防火牆」的戰役中存活下來。記住，身為工程師，我們追求的不只是網路安全，還有「半夜不被叫醒」的和平。
沒有留言:
張貼留言