Palo Alto アドレスオブジェクトの概要と設定方法

動作確認環境

アドレスオブジェクトとは、IP アドレス単体やセグメントなどのアドレス情報の定義です。

セキュリティーポリシーを設定する際、送信元 IP アドレスおよび宛先 IP アドレスを指定します。これらの IP アドレスを指定する際は、直接アドレス情報を入力するのではなく既に作成済みのアドレスオブジェクトを指定するという方式をとります。

このためセキュリティーポリシーを設定する前にアドレスオブジェクトを作成しておく必要があります。

複数のアドレスオブジェクトを一つのオブジェクトにまとめたアドレスグループというオブジェクトも作成可能です。

GUI で設定する場合、[Objects → アドレス] 画面を開き画面左下の [追加] をクリックします。

すると以下のアドレス設定画面が表示されるため各項目を設定します。

名前: 任意のオブジェクト名を指定します
- 使用できる記号は「-」「_」「.」です
内容: 説明文を設定したい場合のみ入力します
タイプ: アドレス指定方式を以下から選択します
- IP ネットマスク: x.x.x.x/yy 方式でアドレスを指定します。最も良く使用されるタイプです
- IP 範囲: x.x.x.x-y.y.y.y 方式でアドレスを指定します
- FQDN: FQDN (ドメイン)でアドレスを指定します
タグ: オブジェクトにタグを設定したい場合のみ設定します

CLI で設定する場合は以下の構文になります。

set address <オブジェクト名> description <内容> tag <タグ値> <タイプ> <アドレス値>
- description と tag は設定しない場合コマンドに含めなくて良い
- <タイプ> は以下から選択
  - ip-netmask: IP ネットマスク
  - ip-range: IP 範囲
  - fqdn: FQDN

設定例: オブジェクト名が 10.1.10.0_24、IP ネットマスクタイプで値が 10.1.10.0/24 の場合

set address 10.1.10.0_24 ip-netmask 10.1.10.0/24

複数のアドレスをグループ化したアドレスグループの作成方法です。

GUI で設定する場合、[Objects → アドレスグループ] 画面を開き画面左下の [追加] をクリックします。

以下のようなアドレスグループ設定画面が表示されるため、各項目を設定します。

名前: 任意のオブジェクト名を設定します
内容: 説明文を設定したい場合のみ入力します
タイプ: 基本的にスタティックを設定します
アドレス: アドレスグループに含めたいアドレスオブジェクトを追加します
- 欄下側にある「参照」「追加」のどちらからでもアドレスオブジェクトを追加できます
タグ: オブジェクトにタグを設定したい場合のみ設定します

CLI で設定する場合は以下の構文になります。

set address-group <オブジェクト名> description <内容> tag <タグ値> static [<アドレスobj名①> <アドレスobj名②> ...]
- description と tag は設定しない場合コマンドに含めなくて良い

設定例: オブジェクト名が sampleAddressGroup、メンバが 10.1.10.0/24、10.1.20.0/24、10.1.30.0/24 の場合

set address-group sampleAddressGroup static [ 10.1.10.0_24 10.1.20.0_24 10.1.30.0_24 ]