PAN-OS kann eine Adressliste von einer externen URL in festen Intervallen abrufen und daraus ein Objekt für Security-Policies bilden. Dieses Objekt heißt External Dynamic List (EDL). Der größte Vorteil: Sie müssen nicht bei jeder Listenänderung committen — das Objekt wird einmal definiert, sein Inhalt aktualisiert sich im Hintergrund.
Voraussetzungen
- Eine Firewall oder Panorama mit aktueller PAN-OS-Version
- Ausgehender Zugriff auf 443/TCP und funktionierendes DNS über die abrufende Schnittstelle
- Ein API-Schlüssel von IP-DB.com
- Korrekte Systemzeit — davon hängt die HTTPS-Zertifikatsprüfung ab
1. Die Quell-URL
Der Pool wird als Klartext ausgeliefert, ein CIDR pro Zeile:
Zum Eingrenzen auf einen Bedrohungstyp hängen Sie &category= an: botnet_c2, malware_c2, attack_source, ssh_brute_force, compromised_host, hijacked_network, tor_exit, aggregated_high_confidence. Das ist zugleich der einfachste Weg, die EDL-Kapazität Ihrer Plattform zu schonen.
2. Das EDL-Objekt anlegen
Öffnen Sie Objects → External Dynamic Lists → Add und füllen Sie die Felder:
- Name:
ipdb-blacklist - Type:
IP List - Source: die obige URL
- Certificate Profile: ein Profil zur Prüfung des HTTPS-Zertifikats; falls in Ihrer Umgebung keines existiert, legen Sie es zuvor unter Device → Certificate Management an
- Check for updates:
Hourly
Drücken Sie vor dem Speichern die Schaltfläche Test Source URL im Dialog. Sie zeigt sofort, ob die Firewall die URL überhaupt erreicht, und fängt einen Großteil der Probleme schon hier ab. Anschließend committen.
3. Service Route
PAN-OS lädt externe Listen standardmäßig über die Management-Schnittstelle. Hat Ihr Management-Netz keinen Internetzugang, leiten Sie unter Device → Setup → Services → Service Route Configuration den Dienst External Dynamic Lists auf eine passende Datenebenen-Schnittstelle um. Ohne diesen Schritt bleibt die EDL stillschweigend leer und Ihre Policy blockiert nichts.
4. In der Security Policy verwenden
Die EDL lässt sich im Quell- oder Zieladressfeld einer Regel wie ein gewöhnliches Adressobjekt auswählen. Empfohlener Aufbau:
- Eine Deny-Regel mit der EDL als Quelle, platziert über den Allow-Regeln — PAN-OS wertet bis zur ersten Übereinstimmung aus; in falscher Reihenfolge greift die Regel nie.
- Logging in der Regel aktivieren (log at session end), damit sich der geblockte Verkehr auswerten lässt.
- Eine zweite EDL mit
botnet_c2undmalware_c2anlegen und ausgehend als Ziel verwenden; das kappt die Verbindung interner Maschinen zu ihrem Command-and-Control-Server.
5. Überprüfen
Ob das Objekt wirklich gefüllt ist, sehen Sie auf der CLI:
In der Oberfläche liefert die Ansicht List Entries And Exceptions in der EDL-Zeile dieselbe Information. Steht die Zahl auf null, prüfen Sie der Reihe nach Service Route, Zertifikatsprofil und API-Schlüssel.
6. Häufige Fehler
- EDL leer, keine Fehlermeldung: fast immer die Service Route — die Firewall erreicht die URL nicht.
- Zertifikatsprüfung schlägt fehl: die Systemzeit ist verschoben oder das Zertifikatsprofil kennt das Stammzertifikat nicht.
- Regel greift nicht: die Deny-Regel steht unter einer breiten Allow-Regel. Prüfen Sie die Reihenfolge.
- Sporadische Downloadfehler: derselbe API-Schlüssel auf vielen Geräten überschreitet das Limit von 120 Anfragen pro Stunde; erzeugen Sie einen Schlüssel je Gerät.
Häufige Fragen
Wie viele IP-Adressen fasst eine EDL?
Das Limit hängt von der Plattform ab und wird über alle EDL-Objekte hinweg geteilt: von Zehntausenden auf kleinen Geräten bis zu Hunderttausenden auf großen Chassis. Grenzen Sie den Feed über den Kategorieparameter ein und löschen Sie ungenutzte EDL-Objekte.
Über welche Schnittstelle lädt die Firewall die Liste?
PAN-OS lädt externe Listen standardmäßig über die Management-Schnittstelle. Hat diese keinen Internetzugang, leiten Sie den Dienst External Dynamic Lists unter Device → Setup → Services → Service Route Configuration auf eine Datenebenen-Schnittstelle um.
Wie oft sollte aktualisiert werden?
Da der Pool alle 30 Minuten neu gebaut wird, genügt eine stündliche Prüfung. Ein Fünf-Minuten-Intervall liefert keine neuen Daten und verbraucht das Kontingent von 120 Anfragen pro Stunde sehr schnell.
Ist nach jeder Aktualisierung ein Commit nötig?
Das Anlegen des EDL-Objekts und seine Verwendung in einer Policy erfordern einen Commit. Der Inhalt der Liste wird jedoch ohne Commit über die geplanten Abrufe aktualisiert — für neue Adressen ist kein erneuter Commit erforderlich.
Das Gegenstück auf FortiGate finden Sie im FortiGate-Threat-Feed-Leitfaden, weitere Plattformen auf der Integrationsseite und Endpunktdetails in der API-Dokumentation.
Kommentare 0
Teile eine Frage, Erfahrung oder Korrektur — registriert oder anonym.
Noch keine Kommentare. Schreib den ersten.