Palo Alto Networks NGFW 上で IPSec VPN を正常に実装するには、セキュリティ アーキテクトは、制御プレーン (トンネル ネゴシエーション) とデータ プレーン (トンネルを通過するトラフィック) という 2 種類のトラフィックを考慮する必要があります。
まず、トンネルを確立するには、ファイアウォールがネゴシエーショントラフィックを許可する必要があります。使用されるプロトコルはIKE（UDP 500/4500）ですが、Palo Alto NetworksはIPSecコンテナアプリケーションを使用して、基盤となる暗号化されたトンネルトラフィックを表現します。このトラフィックは通常、ファイアウォール自身の「ローカル」ゾーン（管理ゾーン）宛てです。
/loopback or physical interface IP). Therefore, a policy must exist to allow theipsec-esp-udpor the broader IPSecapplication between the external-facing zone and theLocal zone.
Second, once the tunnel is active, the decrypted traffic emerges from theTunnel Interface. This interface must be assigned to a security zone (often a dedicated "VPN" zone or an existing internal zone). Because the NGFW is a stateful, zone-based firewall, theinterzone-defaultpolicy is "Deny" by default. Consequently, a pair of security policies is required to allow data to flow: one for traffic entering the tunnel (e.g., Trust to VPN) and one for traffic exiting the tunnel (e.g., VPN to Trust). Without these specific rules, the tunnel may show as "Up" (Phase 1 and 2 complete), but no production data will pass through it.

Palo Alto Networks SSLフォワードプロキシの導入において、復号プロファイルは、ファイアウォールが復号プロセスのさまざまな技術的側面をどのように処理するかを制御するために使用される主要なポリシーコンポーネントです。SSLフォワードプロキシ自体はフォワードトラスト証明書を使用してクライアントの証明書を再署名しますが、ファイアウォールはまず、外部Webサーバーから受信したサーバー側の証明書に対して独自のデューデリジェンスを実行する必要があります。
復号プロファイルを使用すると、管理者はセッションに対して詳細なセキュリティチェックを定義できます。
具体的には、プロファイルの「SSL復号設定」タブ内に「証明書失効チェック」のオプションがあります。ここで、エンジニアはファイアウォールがオンライン証明書ステータスプロトコル（OCSP）と証明書失効リスト（CRL）のチェックを実行する方法を有効化および定義できます。これらのメカニズムは、ファイアウォールが復号と再署名プロセスに進む前に、外部サーバーの証明書が発行元の認証局（CA）によって失効されていないことを確認するために使用されます。
復号プロファイル内でこれらの設定を構成しないと、ファイアウォールが技術的には有効だが失効した証明書を持つ外部サイトへの接続を信頼してプロキシしてしまう可能性があり、重大なセキュリティホールが発生します。SSL/TLSサービスプロファイル（ファイアウォールで終端するトラフィックに使用される）やフォワードトラスト証明書（クライアント側の信頼に使用される）とは異なり、復号プロファイルは、プロキシ経由で送信されるセッションの検証動作を具体的に規定します。

Palo Alto Networks NGFW 上で管理インターフェイスを DHCP クライアントとして設定するには、正しい CLI コマンドは set deviceconfig management type dhcp-client です。
このコマンドは、管理インターフェースがDHCPを使用してIPアドレスを動的に取得するように設定します。

Tunnel establishment requires Security policy to permit the IKE and IPSec negotiations between the zone of the internet-facing physical interface and the zone where the partner peer is reached.
Separately, data traffic must be explicitly allowed with Security policy rules in both directions between the local zone and the tunnel interface's zone so user/application traffic can traverse the VPN.