Palo Alto Networks Certified Network Security Administrator (PCNSA)

认证概述

PCNSA（Palo Alto Networks Certified Network Security Administrator）验证你能够管理和配置 Palo Alto Networks 下一代防火墙（NGFW）的日常运营。PCNSA 是 Palo Alto 认证体系的入门实操认证：掌握 PAN-OS 防火墙基础配置后，可以进阶 PCNSE（工程师级）或 PSE 系列（售前 SE 方向）。考试的核心难点是理解 PAN-OS 的三引擎处理流程（App-ID 先识别应用 → Content-ID 扫描内容 → User-ID 映射用户），以及安全策略的匹配规则（从上到下，First Match 命中）。约 75-80 题、80 分钟、$250 考试费，有效期 2 年。

考试领域

• PAN-OS 平台基础：PAN-OS 系统架构（管理平面/数据平面分离）；初始配置（管理接口、时区、DNS、NTP）；接口类型（Layer 2/Layer 3/Virtual Wire/Tap Mode）的使用场景；Virtual System（vsys）的概念；Security Zone 配置和用途
• 安全策略配置（Security Policy Rules）：安全规则五元组：源/目标 Zone、源/目标 IP、Application、Service、User；规则处理顺序（从上到下 First Match）；规则类型（Universal/Intrazone/Interzone/Global）；Security Profile 关联（Anti-virus/Anti-spyware/Vulnerability Protection/URL Filtering/WildFire/File Blocking）；Shadow Rule 检测
• NAT 规则配置：Source NAT（Outbound，静态 IP/动态 IP/动态 IP+Port 三种类型）；Destination NAT（Inbound，用于服务器发布）；U-Turn NAT（Hair-pin NAT，内网用户访问 DMZ 服务器）；NAT 与 Security Policy 的执行顺序（NAT 先匹配，安全策略用 NAT 后 IP 判断）
• App-ID 与 Content-ID：App-ID 应用识别工作原理（4 种技术：Heuristics/Protocol Decoders/Application Signatures/Unknown Application 处理）；Unknown-tcp/Unknown-udp 的处理方法；App-Override Policy 的使用场景；Content-ID 检测能力（威胁防御/URL 过滤/文件传输控制/数据过滤）；默认 Security Profile 和最佳实践
• URL 过滤与威胁防御：PAN-DB URL 数据库 85 个分类；自定义 URL 类别和外部动态列表；URL Filtering Profile 的 Action（Allow/Alert/Block/Continue/Override）；Threat Prevention Profile 配置（Critical/High/Medium/Low/Informational 严重级别的处理动作）；WildFire 提交文件类型和分析模式

适合人群

网络安全管理员（Network Security Administrator）和 IT 运维工程师负责企业 Palo Alto 防火墙的日常配置与维护，以及希望以 PCNSA 为起点进入 Palo Alto 认证体系的 IT 从业者。