このシナリオでは、顧客はユーザーがウェブサイトに直接アクセスしないこと、セキュリティデバイス（ファイアウォール）が接続を管理すること、そしてすべてのセッションでActive Directory（AD）サーバーへの認証が行われることを要求しています。Kerberos認証を使用した明示的なプロキシが最適なソリューションである理由は以下のとおりです。
明示的なプロキシにより、ファイアウォールはユーザーのウェブトラフィックを傍受し、ユーザーに代わって接続を管理できるようになります。
Kerberos認証は、セッションが許可される前にユーザーの身元がActive Directoryサーバーに対して検証されることを保証し、認証要件を満たします。

Panorama GUIのコンテキストでは、事前ルール（事前セキュリティルール）、仮想ルーター、およびIKEゲートウェイネットワークプロファイルは、デバイスグループとテンプレートを通じて一元的に管理されるため、コミット/プッシュ後、ファイアウォールのローカルコンテキストに切り替えることなく、変更がファイアウォールに直接適用されます。

基本概念：OCSPとCRLはどちらも証明書の失効をチェックしますが、OCSPは完全な失効リストをダウンロードするのではなく、オンデマンドでステータスチェックを実行します。
Bが正解である理由：OCSPは、証明書のリアルタイムステータスを、より少ないメモリとダウンロードのオーバーヘッドで返すため、大規模な展開においてより拡張性に優れています。
Aが間違っている理由：OCSPではファイアウォールが独自の認証局（CA）として機能でき、証明書の管理が簡素化されます。は認証、PKI、またはTLS構成に関連付けられていますが、テスト対象の証明書検証またはサービスID要件を強制するオブジェクトまたはステップではありません。
Cが間違っている理由：OCSPはCRLよりも古く、より広くサポートされているプロトコルです。すべてのクライアントデバイスとの互換性を保証します。認証、PKI、またはTLS構成に関連付けられていますが、テストされている証明書の検証またはサービスID要件を強制するオブジェクトまたはステップではありません。
Dが間違っている理由：OCSPは、ファイアウォールによるダウンロードを高速化するために、すべての証明書ステータスを単一のデジタル署名付きファイルにバンドルします。は認証、PKI、またはTLS構成に関連付けられていますが、テスト対象の証明書検証またはサービスID要件を強制するオブジェクトまたはステップではありません。

To implement post-quantum cryptography (PQC) in VPNs between Palo Alto Networks NGFWs, you would enable the PQ KEM (Post-Quantum Key Encapsulation Mechanism) in the IKE gateway configuration. This enables the firewall to use quantum-resistant encryption for key exchange, which is an essential part of securing communications against the potential future threats posed by quantum computing.
By selecting IKE v2 Preferred and enabling the PQ KEM option under Advanced Options, you can add specific Rounds for the post-quantum cryptography process, which will help in implementing quantum-resistant key exchange methods.
This option similarly selects IKE v2 and enables PQ KEM while also creating a dedicated IKE Crypto Profile with the necessary Rounds configured for post-quantum cryptography.

EC2 Auto Scaling グループで VM-Series ファイアウォールを使用すると、複数のアベイラビリティ ゾーンにわたる水平スケールアウトが実現し、Amazon Gateway Load Balancer の背後に配置することで、自動スケーリングとフェイルオーバーをサポートしながら、受信および送信フローの一元的な検査のための堅牢で分散されたトラフィック挿入が可能になります。