如何啟用 Palo Alto Networks 防火牆授權

前言：從金融業到製造業的資安現實衝擊

自從離開了高度監管的金融機構，轉入製造業後，我深刻體會到不同產業間資安認知的巨大落差。這個轉換不僅讓我大開眼界，更讓我意識到台灣製造業在資安防護上面臨的嚴峻挑戰。

在金融業，資安是生存的基本要求，每個環節都有嚴格的規範和監控。然而，進入製造業後，我發現不只是公司本身（甲方）對於資訊安全的認知相對淺薄，連配合的廠商也讓我很意外。比如：

• 基礎概念缺乏：不知道「網段隔離」是什麼，這在金融業是很基本的認知
• 產品認知不足：不清楚自己 家開發的ERP 產品使用什麼 port，所以無法進行適當的防火牆設定
• 流程不當：沒有啟用授權就急著驗收請款，完全忽略了資安防護的實際效果

在這次啟用授權的過程中，我發現廠商不僅啟用授權的方式說明付之闕如，還遺漏了啟用授權所需的關鍵資訊（如設備序號），導致無法順利啟用授權。這讓我不禁思考：是否有許多缺乏資訊安全管理人力的中小企業，也都搞不清楚廠商什麼有做、什麼沒做就驗收付款。誤以為做資安就是花錢 → 設備上架 → 完事 → 以為有充足的防護。

試想一下這個情境：企業花錢購買了防火牆，但是：

1. 沒有做網段隔離（因為覺得麻煩或不懂重要性）
2. 有購買防護授權但沒有啟用（以為買了就可以）
3. 看到防火牆上架了就以為有十足保護（但實則是沒有做網段隔離也沒啟用防護）

以 Palo Alto 防火牆為例，我們購買的防護授權包含 Advanced Threat Prevention、DNS Security、URL Filtering、WildFire、SD-WAN 等多項功能。其中許多關鍵功能，比如 Security Profiles（安全設定檔）還有預設的Block List，是沒有啟用授權就無法進一步設定。

具體來說：

• Advanced Threat Prevention：提供進階威脅防護，包括機器學習和深度學習分析
• URL Filtering：網址過濾功能，可阻擋惡意網站和不當內容
• WildFire：雲端沙箱分析，用於檢測未知威脅
• DNS Security：DNS 安全防護，防止 DNS 劫持和惡意域名解析
• Anti-Spyware 和 Vulnerability Protection：反間諜軟體和漏洞防護

如果沒有啟用相應的授權，許多進階功能根本無法使用，防火牆就只能執行基本的 Layer 3/4 過濾，如果再連網段隔離、黑白名單都嫌麻煩，這台設備就完全失去了次世代防火牆的核心價值。

這樣的資安防護合理嗎？答案顯然是否定的。根據調查顯示，製造業對資安能力有信心的企業大約只有 21%，而內部技術能量不足更是製造業推動資安的最大挑戰。這種現象在中小企業中更為明顯，許多企業僅仰賴基礎的防毒軟體，卻忽略了完整的資安架構建置。

因此，這篇文章不僅是我自己啟用 Palo Alto 防護授權的完整紀錄，更希望能幫助其他面臨類似挑戰的資安從業人員和企業。當下次續約需要重新執行這個流程時，我們都能更有經驗、更有信心地完成任務，確保企業真正獲得應有的資安防護。

在現代企業網路安全環境中，Palo Alto Networks 次世代防火牆是關鍵防禦工具。本文將根據實際操作經驗，詳細介紹如何成功啟用 Palo Alto 防火牆授權，包括常見問題的解決方案。

正文: 為什麼需要啟用防護授權？

授權的重要性

• 威脅防護功能：包括防病毒、防間諜軟體和漏洞保護
• 軟體更新權限：無法更新 PAN-OS 軟體如果沒有支援授權
• 雲端服務存取：WildFire、PAN-DB、DNS Security 等服務
• 技術支援：獲得原廠技術支援

準備工作

必要條件

1. 有效的授權碼（Authorization Code）及設備序列號（Serial Number）
2. 已註冊的 Palo Alto Networks 支援帳戶
3. 防火牆的網際網路連線能力
4. 管理員權限存取防火牆

網路需求

防火牆需要能夠存取以下網域：

• updates.paloaltonetworks.com
• support.paloaltonetworks.com
• license.api.paloaltonetworks.com

方法一：透過支援入口網站啟用（建議）

步驟 1：建立支援帳戶

1. 前往 Palo Alto Networks 支援頁面
2. 點擊右上角的 Sign In 連結
3. 建立新帳戶或使用現有帳戶登入（建議綁定多因素驗證）

步驟 2：註冊設備

1. 登入支援入口網站後，導航至 Products > Assets
2. 滑鼠游標移至Account Action，點擊 Register Product
3. 輸入防火牆的序號，填寫設備註冊資訊
4. 完成設備註冊，按下Agree and Submit送出

送出後的畫面:

什麼是 Day 1 Configuration

Day 1 Configuration 是 Palo Alto Networks 提供的最佳實務配置模板，主要目的是：

• 快速部署：提供預先配置好的安全設定
• 減少配置錯誤：基於 Palo Alto 的最佳實務建議
• 改善安全態勢：包含威脅防護、安全設定檔、規則和日誌記錄等關鍵安全元素

這裡選擇不執行的原因 現有配置可能被覆蓋：Day 1 Configuration 會套用預設的安全政策和設定，可能會影響您現有的配置

1. 現有配置可能被覆蓋
2. 防火牆已正常運作

替代方案

使用 Best Practice Assessment (BPA)

1. 在支援入口網站中尋找 BPA 工具
2. BPA 會分析現有的配置並提供改善建議
3. 可以選擇性地套用建議，而不會影響現有運作

步驟 3：啟用授權

1. 在已註冊的設備清單中找到您的防火牆
2. 點選個別防火牆，點擊 Licenses & Subscriptions
3. 輸入相應的授權碼
4. 點擊 Activate License 完成啟用

啟用完授權的Dashboard會像是這樣

步驟 4：下載授權檔案

1. 啟用成功後，下載產生的授權檔案
2. 保存檔案以備手動上傳使用

按下載圖示進行下載

二：在防火牆上啟用授權

我們防火牆管理是用較為嚴謹的白名單管理，沒有開完整的狀態下，對Palo Alto雲端伺服器還不能連線同步

到PA防火牆管理介面上檢查 Device > Licenses下還是沒有出現已在Palo Alto Support網站啟用的授權

Objects > Security Profile中出現以下錯誤訊息

透過 Web 管理介面手動上傳授權檔案

1. 登入防火牆 Web 管理介面
2. 導航至 Device > Licenses > Manually upload license key
3. 選擇以下其中一種方法：

• Activate feature using authorization code：直接輸入授權碼
• Retrieve license keys from license server：從伺服器自動取得
• Manual upload：手動上傳授權檔案 (我選擇這個)

新增完成後，介面就會多出啟用的License

直到所有防火牆上的授權都啟用完成。

常見問題與解決方案

問題 1：「Failed to fetch license」錯誤

原因分析：

• 網路連線問題
• DNS 設定錯誤
• 防火牆政策阻擋

解決方案：

# 測試網路連線
ping source <管理IP> host updates.paloaltonetworks.com

# 檢查 DNS 解析
nslookup updates.paloaltonetworks.com

# 檢查路由
show routing route

問題 2：雲端服務連線問題

症狀：

• “CLOUD ELECTION: cannot elect a cloud”
• “URL cloud list is empty”
• “PAN-DB cloud list loading failed”

解決方案：

1. 檢查安全政策：確保允許管理介面存取 Palo Alto 雲端服務
2. 建立允許規則： 來源：Management Zone（或具體管理 IP） 目的地：Any 應用程式：pan-db-cloud, 跟其他相關的palo-alto應用程式 動作：Allow

問題 3：HA 環境授權問題

重要提醒：

• 每台防火牆都需要個別啟用授權
• 授權不會在 HA 對之間自動同步
• 兩台防火牆必須使用相同類型和到期日的授權

解決步驟：

1. 分別在兩台防火牆上啟用授權
2. 確認授權類型和到期日一致
3. 驗證功能正常運作

驗證授權狀態

透過 Web 介面檢查

1. 導航至 Device > Licenses
2. 確認授權狀態顯示為 Active
3. 檢查到期日和剩餘天數

透過 CLI 檢查

# 顯示所有授權資訊
show license all

# 檢查系統資訊
show system info

# 檢查雲端連線狀態
show url-cloud status

預期結果

PAN-DB URL Filtering License : valid
Cloud connection : connected
URL database version : 20250630.20138
URL database status : good

最佳實務建議

安全政策設定

1. 最小權限原則：僅允許必要的管理流量
2. 來源限制：將管理流量限制為特定 IP 或 Zone
3. 應用程式控制：明確指定允許的應用程式

網路設定優化

1. DNS 設定：使用可靠的 DNS 伺服器（如 8.8.8.8）
2. NTP 同步：確保系統時間準確
3. 服務路由：正確設定管理介面的服務路由

監控與維護

1. 定期檢查授權狀態
2. 監控系統日誌中的授權相關訊息
3. 提前續約避免服務中斷

故障排除檢查清單

當遇到授權啟用問題時，請依序檢查：

• 授權碼是否有效且未被使用
• 防火牆是否能存取網際網路
• DNS 設定是否正確
• 安全政策是否允許管理流量
• 系統時間是否準確
• 防火牆序號是否正確顯示

總結

成功啟用 Palo Alto 防火牆授權需要：

1. 正確的準備工作：確保網路連線和必要資訊（如 設備序號SN及授權碼Auth Code）
2. 選擇適當的啟用方法：建議使用支援入口網站方法
3. 解決網路連線問題：特別注意防火牆自我阻擋問題
4. 驗證啟用結果：確認所有功能正常運作

對於製造業及其他對資安還認識不深的中小企業而言，建立完整的資安防護不僅僅是購買設備，更需要正確的設定、持續的維護和專業的管理。希望這篇文章能幫助更多企業建立真正有效的資安防護機制