Palo Alto Networks NGFW間のVPNに耐量子暗号（PQC）を実装するには、IKEゲートウェイ設定でPQ KEM（耐量子鍵カプセル化メカニズム）を有効にします。これにより、ファイアウォールは鍵交換に耐量子暗号を使用できるようになります。これは、量子コンピューティングによる将来の潜在的な脅威から通信を保護するために不可欠な要素です。
IKE v2 優先を選択し、詳細オプションで PQ KEM オプションを有効にすると、耐量子暗号プロセスに特定のラウンドを追加できます。これは、量子耐性のある鍵交換方法の実装に役立ちます。
このオプションも同様に IKE v2 を選択し、PQ KEM を有効にするとともに、量子耐性暗号化に必要なラウンドが設定された専用の IKE 暗号プロファイルを作成します。

Palo Alto Networks AI ランタイム セキュリティ: ネットワーク インターセプト ソリューションの各フェーズは、AI を使用してネットワーク内の悪意のあるアクティビティを検出し、防止することで、潜在的な脅威をリアルタイムで特定し、防御できるように設計されています。
検出: ネットワーク内のアプリケーション、サービス、動作を識別して、ベースライン アクティビティを理解します。
展開: ソリューションをネットワークに実装し、既存のセキュリティ対策と統合します。
検出: トラフィックとアクティビティを監視して、異常な動作や悪意のある動作を識別します。
予防: 悪意のあるトラフィックをブロックしたり、悪用の試みを阻止するなど、脅威が検出されたらそれを阻止するための措置を講じます。

ゾーン保護プロファイルにおいて、「プロトコル保護」は、偽装されたIPアドレスやスプリットハンドシェイクによるセッション確立の試みといったアクティビティに対する保護を設定するためのセクションです。これらの種類の攻撃は通常、IPアドレスの偽装やセッションハイジャックといったプロトコルの動作を操作するものであり、「プロトコル保護」設定によって軽減されます。

クラウドサービスプロバイダー（CSP）環境において、複数のアベイラビリティゾーン（AZ）にまたがる高可用性（HA）を確保するには、ヘルスプローブを備えたロードバランサーの使用が推奨されます。この設定により、複数のアベイラビリティゾーンにまたがる正常なNGFWインスタンスにトラフィックを確実に誘導できます。1つのNGFWインスタンスまたはアベイラビリティゾーンがダウンした場合でも、ロードバランサーはトラフィックを他のゾーンの利用可能なインスタンスにリダイレクトすることで冗長性を確保し、サービスの可用性を維持します。

このシナリオでは、ユーザーがウェブサイトに直接アクセスせず、セキュリティデバイス（ファイアウォール）が接続を管理すること、そしてすべてのセッションでActive Directory（AD）サーバーへの認証が確実に行われることをお客様が求めています。Kerberos認証を使用した明示的プロキシは、以下の理由から最適なソリューションです。
明示的なプロキシにより、ファイアウォールはユーザーの Web トラフィックを傍受し、ユーザーに代わって接続を管理できるようになります。
Kerberos 認証により、セッションが許可される前にユーザーの ID が Active Directory サーバーに対して検証され、認証要件が満たされます。