原文链接：https://www.ittel.cn/archives/64197.html 。原创作品，转载请保留出处。
Palo Alto Networks 的 PAN-OS 是其下一代防火墙（NGFW）的操作系统，通过App-ID、Content-ID、设备ID和用户ID等技术，提供全面的网络流量控制和管理，确保安全策略的有效执行。PAN-OS 的核心设计理念是通过深度集成多种安全功能，提供更高效、更智能的威胁防护。
Palo Alto PAN-OS 功能特点
了解应用程序的真实身份
PAN-OS 包括 App-ID™ — 我们的专利流量分类技术，可自动发现和控制新应用程序，即使是那些试图通过伪装成合法流量、跳跃端口，或通过加密潜入防火墙来规避检测的应用程序。按应用程序对用户进行身份验证和授权
PAN-OS 包括 User-ID™，它简化了用户识别和身份验证，并且可以帮助您的员工轻松部署零信任。PAN-OS® 保护用户免受网络钓鱼攻击，阻止向恶意网页提交凭据，并为异常用户行为提供自动补救。
- 轻松管理网络上的设备安全
Device-ID™ 是 PAN-OS 的一项功能，它为设备提供策略规则，无论 IP 地址或位置如何变化。使用 Device-ID，您可以了解事件与设备和设备策略之间的关系。PAN-OS 可以帮助改进安全性、解密、QoS 和身份验证策略。
阻止规避其他安全方法的漏洞利用
与 Device-ID 和 App-ID 类似，Content-ID™ 使您能够理解和控制通过网络传输的流量内容。Content-ID 在一次网络流量扫描中提供全面的威胁防护，优化您的 NGFW 性能。实现高吞吐量、低延迟的安全保护
简单地添加越来越多的安全功能的传统策略会导致性能下降和延迟增加。我们的单通道架构在单次扫描中执行所有必要的安全功能，从而降低复杂性并最大限度地降低总拥有成本。防御通过加密隐藏的威胁
除非经过检查，否则加密流量会使组织对隐藏在内部的安全风险视而不见。黑客利用可见性的缺乏，在加密流量中传播恶意软件。PAN-OS 为 TLS 和 SSL 加密流量提供全面的解密，包括 TLS 1.3 和 HTTP/2
PAN‑OS 12.1.7 新增功能
发布时间：2026‑05‑29；属于 12.1 分支维护版本，无大规模架构新特性，重点扩展硬件支持、增强E‑DLP检测能力。
一、硬件平台扩展
- PA‑5500 机箱系列正式支持 HA Active/Passive（主备）模式；
- 支持使用 HSCI 机箱互联线缆承载 HA1 配置同步 + HA2 会话同步；
- 适配传统企业主备架构，不再强制 Active‑Active 集群部署。
二、E‑DLP 数据防泄漏能力增强
- E‑DLP 新增 WebSocket 双向长连接流量检测；
- 支持识别网页协同工具、网页IM等长连接通道外传敏感数据；
- 可搭配精细化数据配置文件，针对WebSocket流量执行告警、阻断策略。
三、日志与可视性优化
- ICMPv6 NDP 邻居发现报文增强应用日志（EAL）默认开启，提升IPv6终端可视性；
- 大规模IPv6环境可通过CLI关闭，规避日志风暴：
set deviceconfig setting logging enhanced-application-logging disable-global icmpv6-ndp
PAN-OS 12.1 新增功能
✅ 内容检查功能
- DNS 安全日志类型新增专门针对 DNS 安全事件的日志类型，可记录正常与恶意 DNS 流量的详细交易信息，包括会话 ID、收发时间、源/目的信息、DNS 分类、威胁名称、严重性和处理动作等。支持将日志发送至外部系统，可用于溯源和威胁分析。
- Brotli 解压支持Content-Based Threat Detection (CTD) 引擎新增 Brotli 解压功能，使 HTTP 内容可被更广泛检查，从而提升威胁检测能力，并防止攻击者利用 Brotli 压缩规避安全检查。
✅ 管理功能
- Telemetry 自动启用自动配置设备遥测数据传输，简化配置，提高安全响应和性能洞察。
- 量子密钥分发 (QKD)支持量子安全加密的 IPsec VPN，防御未来量子计算威胁，兼容现有 VPN 架构。
- 安全增强IMA (Integrity Measurement Architecture) 防止未经授权的程序运行，提供多层防护。
- 设备安全设置当检测到安全违规时，可选择继续运行或进入维护模式，保护系统并记录高严重性日志。
- 插件捆绑管理升级时自动匹配插件，避免版本冲突和配置丢失，确保升级顺畅。
- 升级检查生成升级前后检查报告，提前发现问题并验证升级后系统状态，降低大规模部署风险。
- 通过蜂窝网络的零触发配置 (ZTP)支持远程部署 NGFW，适用于无传统有线网络的场景，简化远程站点部署。
✅ 网络功能
- DNS 重写条件检查可基于客户端来源区域或 IP 控制 DNS 地址翻译，支持正负匹配，实现细粒度控制。
- 蜂窝接口上的 GRE 隧道支持通过蜂窝网络建立 GRE 隧道，用于远程 IoT 设备或移动环境。
- PA-5450 支持 SWG提升安全 Web 网关性能和可扩展性，适合高流量环境。
- IPv6 地理位置支持补充 IPv4 地理位置策略，实现统一安全管理，兼顾双栈和 IPv6-only 环境。
- 增强 ICMPv6 应用日志DPI 生成 ICMPv6 NDP 日志，用于设备识别和高级设备管理，可供 Cortex XDR 使用。
- 增强数据包捕获支持范围过滤支持按 IP、端口、协议范围捕获包，方便批量流量排查。
✅ Panorama 功能
- 日志收集器扩展优化可选择主节点，提升大规模日志采集性能，实现高日志吞吐率。
- 增强共享优化多虚拟系统设备推送配置时减少对象复制，降低内存占用和提交失败风险。
✅ 证书管理功能
- PAN-OS 系统证书Web 界面显示内部证书信息，包括到期日期和状态，方便管理。
✅ 解密功能
全面解密日志字段和错误信息
区分客户端和服务器端会话，提供更多解密状态和错误原因字段，便于排查。
- TLSv1.3 后量子密码学支持支持 PQC KEMs，在 TLSv1.3 会话中实现量子安全加密，同时兼容传统系统。
✅ 设备安全功能
- 高级 Device-ID提供更精细的设备分组和策略应用能力，支持 IoT、混合资产环境的安全策略精确化。
✅ SD-WAN 功能
- NGFW 与 Prisma SD-WAN 数据中心集成分支与数据中心之间通过 SD-WAN 安全隧道连接，实现统一管理、流量优化和策略一致性。
- SD-WAN HA 设备简化配置可同时添加 HA 对设备，配置自动同步，保证高可用性和一致性。
✅ 认证功能
- Kerberos 应用密码免登录用户首次认证后可访问所有受保护应用，无需重复输入密码，提高安全性和用户体验。
✅ 虚拟化功能
- GCP 上 VM-Series 支持 Secure Boot新安装的 VM-Series 支持 Secure Boot，确保启动链可信，防止低级攻击。
- Hyperscale Security Fabric (HSF)动态扩展的虚拟防火墙架构，支持高吞吐量、安全会话弹性和自动扩展，简化管理。
✅ 企业数据防泄漏功能
- 精细数据配置文件在单条策略中可针对不同数据模式设定不同处理动作，降低误报，简化策略管理。
✅ 硬件功能
- PA-455R-5G NGFW工业级 5G 防火墙，防护恶劣环境，支持 MIMO 天线和 PoE。
- PA-500 系列 NGFW支持 ZTP、多种接口，威胁防护 1.2–6 Gbps，灵活部署分支和零售环境。
- PA-5500 系列 NGFW高性能防火墙，威胁防护 90–300 Gbps，支持 NGFW 集群及高吞吐量数据中心场景。
文件后缀说明
- .vhdx 是一种 虚拟硬盘映像文件格式，主要用于 Microsoft Hyper-V 虚拟化平台。
- .qcow2 是一个 虚拟机磁盘映像文件，通常用于 KVM（Kernel-based Virtual Machine） 虚拟化环境中。
- .ova 是一种 虚拟机打包文件格式，通常用于 ESXi 虚拟化环境中。
相关文件
Palo Alto PAN-OS 12.1.4
PAN-OS 12.1 Orion for ESXi
#md5#PA-VM-ESX-12.1.4.ova
2423e3bf67370bc16b322a7e5f57238a
#sha256#PA-VM-ESX-12.1.4.ova
7bc833fc8e1ef77fb82809b7ac2ab42fca3dc9392374ec1df9368a6de39ecf4c
Palo Alto PAN-OS 12.1.7 for ESXi & KVM
PA-VM-ESX-12.1.7.ova
大小: 5995378176 字节
MD5: 93B9AC16C8BA34B07FAE219DBCF022F4
SHA1: 3EF5C6F48331C31C68B44297B1231B821CE6D497
CRC32: 26C6C9F5
PA-VM-KVM-12.1.7.qcow2
大小: 5923930112 字节
MD5: 25864517008DC4CD493DA0FCBC69293F
SHA1: E9B6A16114D42486EC33C26CC72C1B19A9E0ED6A
CRC32: 471B59DB
