本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Managed Palo Alto 輸出防火牆

AMS 提供受管 Palo Alto 輸出防火牆解決方案，可為多帳戶登陸區域環境 （不包括公有服務） 中的所有網路啟用網際網路繫結傳出流量篩選。此解決方案結合了領先業界的防火牆技術 (Palo Alto VM-300) 與 AMS 的基礎設施管理功能，可在合規的操作環境中部署、監控、管理、擴展和還原基礎設施。包括 Palo Alto Networks 在內的第三方無法存取防火牆；它們僅由 AMS 工程師管理。

流量控制

受管傳出防火牆解決方案會管理網域允許清單，其中包含備份和修補程式等服務所需的 AMS 網域，以及您定義的網域。當傳出網際網路流量路由到防火牆時，會開啟工作階段、評估流量，如果符合允許的網域，流量會轉送到目的地。

架構

受管輸出防火牆解決方案遵循高可用性模型，其中會根據可用區域 (AZs) 的數量部署兩到三個防火牆。解決方案利用來自預設輸出 VPC 的部分 IP 空間，但也為管理防火牆所需的其他資源佈建 VPC 延伸 (/24)。

網路流程

在高階，公有輸出流量路由保持不變，但流量從輸出 VPC 路由到網際網路的方式除外：

防火牆本身包含三個界面：

在所有路由中，流量都會維持在相同的可用區域 (AZ) 內，以減少跨可用區域流量。流量只會在容錯移轉發生時跨越 AZs。

允許清單修改

加入後，ams-allowlist會建立名為 的預設允許清單，其中包含 AMS 所需的公有端點，以及用於修補 Windows 和 Linux 主機的公有端點。操作完成後，您可以在管理 | 受管防火牆 | 傳出 (Palo Alto) 類別下的 AMS 主控台中建立 RFC 的 ，以建立或刪除允許清單，或修改網域。請注意， ams-allowlist無法修改。RFC 的 是以完全自動化處理 （並非手動）。

自訂安全政策

安全政策會根據流量屬性來決定是否封鎖或允許工作階段，例如來源和目的地安全區域、來源和目的地 IP 地址，以及 服務。全自動化 RFCs支援自訂安全政策。您可以在 Management | Managed Firewall | Outbound (Palo Alto) 類別中找到建立或刪除安全政策CTs，也可以在 Deployment | Managed Firewall | Outbound (Palo Alto) 類別中找到編輯現有安全政策的 CT。您將能夠建立新的安全政策、修改安全政策或刪除安全政策。

CloudWatch PA 輸出儀表板

您可以在 CloudWatch 中找到兩個儀表板，以提供 Palo Alto (PA) 的彙總檢視。AMS-MF-PA-Egress-Config-Dashboard 提供 PA 組態概觀、允許清單的連結，以及包含其屬性的所有安全政策清單。AMS-MF-PA-Egress-Dashboard 可以自訂來篩選流量日誌。例如，若要建立安全政策的儀表板，您可以使用下列篩選條件建立 RFC：

fields @timestamp, @message
| filter @logStream like /pa-traffic-logs/
| filter @message like /<Security Policy Name>/
| parse @message "*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*," as x1, @x2, @x3, @x4, @type, @x6, @x7, @source_ip, @destination_ip, @source_nat_ip, @dest_nat_ip, @rule, @x13, @x14, @application, @x16, @from_zone, @to_zone, @x19, @x20, @x21, @x22, @session_id, @x24, @source_port, @destination_port, @source_nat_port, @destination_nat_port, @x29, @protocol, @action, @bytes, @bytes_sent, @bytes_recieved, @packets, @x36, @x37, @category, @x39, @x40, @x41, @source_country, @destination_country, @x44, @packets_sent, @packets_recieved, @session_end_reason, @x48, @x49, @x50
| display @timestamp, @rule, @action, @session_end_reason, @protocol, @source_ip, @destination_ip, @source_port, @destination_port, @session_id, @from_zone, @to_zone, @category, @bytes_sent, @bytes_recieved, @packets_sent, @packets_recieved, @source_country, @destination_country

容錯移轉模型

防火牆解決方案包含兩到三個 Palo Alto (PA) 主機 （每個可用區域一個）。運作狀態檢查 Canary 會以固定排程執行，以評估主機的運作狀態。如果主機識別為運作狀態不良，AMS 會收到通知，並透過路由表變更，自動將該 AZ 的流量轉移到不同 AZ 中運作狀態良好的主機。由於運作狀態檢查工作流程持續執行，如果主機因為暫時性問題或手動修復而再次運作狀態良好，則流量會使用運作狀態良好的主機切換回正確的可用區域。

擴展

AMS 會監控防火牆的輸送量和擴展限制。當輸送量限制超過較低的浮水印閾值 (CPU/網路） 時，AMS 會收到提醒。低浮水印閾值表示資源接近飽和，到達 AMS 將評估一段時間內指標的時間點，並尋求擴展解決方案的建議。

備份與恢復

備份會在初始啟動期間、任何組態變更後，以及定期間隔建立。初始啟動備份是以每個主機為基礎建立，但組態變更和定期間隔備份會在叫用備份工作流程時跨所有防火牆主機執行。AMS 工程師可以在這些時段之外建立其他備份，或應要求提供備份詳細資訊。

如有需要，AMS 工程師可以執行組態備份的還原。如果需要還原，則會在所有主機之間進行，以保持主機之間的組態同步。

當主機需要完整回收執行個體時，也會發生還原。佈建新的 EC2 執行個體時，會自動還原最新的備份。一般而言，主機不會定期回收，並且會保留給嚴重故障或必要的 AMI 交換。主機資源回收會手動啟動，並在資源回收發生之前通知您。

除了防火牆組態備份之外，您的特定允許清單規則會分別備份。修改您定義的允許清單規則時，會自動建立備份。如有必要，AMS 工程師可以執行允許清單備份的還原。

更新

AMS Managed Firewall Solution 需要一段時間的各種更新，才能對系統、其他功能或防火牆作業系統 (OS) 或軟體進行更新。

大多數變更不會影響執行環境，例如更新自動化基礎設施，但防火牆執行個體輪換或作業系統更新等其他變更可能會導致中斷。評估因更新造成的潛在服務中斷時，AMS 會與您協調以適應維護時段。

運算子存取

AMS 運算子會使用其 ActiveDirectory 登入資料登入 Palo Alto 裝置來執行操作 （例如修補、回應事件等）。解決方案會保留標準 AMS Operator 身分驗證和組態變更日誌，以追蹤在 Palo Alto 主機上執行的動作。

預設日誌

根據預設，防火牆產生的日誌位於每個防火牆的本機儲存體中。加班，本機日誌將根據儲存使用率刪除。AMS 解決方案可將日誌從機器即時傳送至 CloudWatch 日誌；如需詳細資訊，請參閱 CloudWatch Logs 整合。

AMS 工程師仍然能夠在需要時直接從機器查詢和匯出日誌。此外，日誌可以運送到客戶擁有的 Panorama；如需詳細資訊，請參閱 全景整合。

解決方案收集的日誌如下：

事件管理

AMS 會持續監控防火牆的容量、運作狀態和可用性。從防火牆產生的指標，以及 AWS/AMS 產生的指標，可用來建立 AMS 操作工程師收到的警示，他們將調查並解決問題。目前的警示涵蓋下列案例：

事件警示：

管理警示：

指標

所有指標都會擷取並儲存在網路帳戶中的 CloudWatch 中。您可以透過取得網路帳戶的主控台存取權，以及導覽至 CloudWatch 主控台來檢視這些內容。您可以在指標索引標籤下檢視個別指標，也可以透過導覽至儀表板索引標籤，然後選取 AMS-MF-PA-Egress-Dashboard 來檢視特定指標和彙總指標的單一窗格儀表板檢視。

自訂指標：

CloudWatch Logs 整合

CloudWatch Logs 整合會將日誌從防火牆轉送到 CloudWatch Logs，以降低由於本機儲存使用率而遺失日誌的風險。當防火牆產生日誌時，日誌會即時填入，並且可以透過主控台或 API 隨需檢視。

可以使用 CloudWatch Insights 建置複雜的查詢以進行日誌分析或匯出至 CSV。此外，自訂 AMS Managed Firewall CloudWatch 儀表板也會顯示特定流量日誌查詢的快速檢視，以及一段時間內流量和政策命中次數的圖形視覺化。使用 CloudWatch 日誌也可以原生整合其他 AWS 服務，例如 AWS Kinesis。

全景整合

AMS Managed Firewall 可以選擇性地與您現有的 Panorama 整合。這可讓您從 Panorama 檢視防火牆組態，或從防火牆將日誌轉送至 Panorama。與 AMS Managed Firewall 的 Panorama 整合是唯讀的，不允許從 Panorama 對防火牆進行組態變更。Panorama 由您完全管理和設定，AMS 僅負責設定防火牆以與其通訊。

授權

AMS Managed Firewall 的價格取決於所使用的授權類型、每小時或自備授權 (BYOL)，以及設備執行的執行個體大小。您必須透過 AWS Marketplace 訂購您偏好的執行個體大小和 Palo Alto 防火牆授權。

限制

目前，AMS 支援 VM-300 系列或 VM-500 系列防火牆。您可以在此處找到組態：AWS EC2 執行個體上的 VM 系列模型、

加入要求

定價

AMS Managed Firewall 基礎基礎設施成本分為三個主要驅動程式：託管 Palo Alto 防火牆的 EC2 執行個體、軟體授權 Palo Alto VM 系列授權，以及 CloudWatch Integrations。

下列定價是以 VM-300 系列防火牆為基礎。