Palo Alto NGFW의 정상적인 API 트래픽 차단 문제

Question

Palo Alto NGFW의 정상적인 API 트래픽 차단 문제

JangJungKook 40

현재 운영 중인 Palo Alto NGFW에서 외부 Vendor의 API endpoint로 전송되는 outbound HTTPS connection이 Threat Prevention 정책에 의해 정상적인 트래픽임에도 불구하고 차단되고 있습니다. 해당 API endpoint는 업무상 반드시 허용되어야 하지만, 기존 Security Policy를 완화하지 않고 특정 Vendor endpoint에 대해서만 예외 처리하고 싶습니다. 이런 경우 Palo Alto에서 custom bypass/allow rule을 어떻게 구성하는 것이 가장 적절한가요? Destination FQDN, URL Category 또는 Threat ID를 기준으로 예외 Rule을 생성해야 하는지도 궁금합니다.

댓글 0개

답변 1개

답변

Answer 1

안녕하세요 Jang JungKook

가상화된 도메인 컨트롤러에서 클락 드리프트가 크게 나면 말씀하신 것처럼 MaxAllowedPhaseOffset 때문에 w32time이 동기화를 거부하는 경우가 있어요. 이럴 땐 제한 값을 리셋하거나 강제로 시간 맞추는 방법을 써야 합니다. 가장 간단한 접근은 w32tm /config /update로 설정을 갱신한 뒤, w32tm /resync /force 명령으로 강제 동기화를 트리거하는 겁니다. 만약 정책 때문에 계속 거부된다면, 레지스트리에서 MaxAllowedPhaseOffset 값을 늘리거나 0으로 설정해서 제한을 풀어줄 수 있습니다. 그리고 Hyper‑V 환경이라면 VMIC Time Synchronization 서비스가 중복으로 영향을 줄 수 있으니, 필요하다면 해당 서비스 비활성화도 고려해 보세요. 마지막으로 이벤트 로그에서 동기화 실패 원인을 같이 확인하면 더 확실하게 진단할 수 있습니다.

이 답변이 문제 해결에 도움이 되셨다면 “accept answer” 눌러주시면 감사하겠습니다!