Palo Alto Networks Certified Software Firewall Engineer (PCSFE)

认证概述

PCSFE（Palo Alto Networks Certified Software Firewall Engineer）验证候选人能够在虚拟化、容器和公有云环境中部署和管理 Palo Alto 软件防火墙。Palo Alto 软件防火墙家族包含两大产品：VM-Series（虚拟机形态防火墙，运行在 VMware ESXi/KVM/Hyper-V 或 AWS/Azure/GCP）和 CN-Series（容器形态防火墙，集成 Kubernetes，保护 Pod 间的东西向流量）。PCSFE 考试重点考察云端部署架构（AWS Gateway Load Balancer 集中安全架构、Azure VNET Hub-and-Spoke）、Bootstrapping 引导配置和 Auto-scaling 弹性扩展，约 80 题/120 分钟/$250 考试费，有效期 2 年。

考试领域

• VM-Series 部署架构：VM-Series 授权模式（BYOL/PAYG/Bundle 1/Bundle 2）；支持的虚拟化平台（VMware ESXi/KVM/Hyper-V/Nutanix AHV）；VM-Series 接口类型和性能规格（vCPU/内存/网络接口限制）；部署模式（Inline/Tap/Virtual Wire）；Multi-NIC 接口配置最佳实践
• 公有云部署（AWS/Azure/GCP）：AWS 部署模式（Transit Gateway + GWLB/Gateway Load Balancer 集中式安全检测架构）；Azure 部署（Hub VNet + 强制隧道 + VNET Peering）；GCP 部署（Shared VPC + Internal Load Balancer）；云端 HA 配置（Cloud-Based HA vs Traditional HA 差异）；Auto-scaling 组件（VM-Series Auto Scaling in AWS with Lambda + CloudWatch）
• Bootstrapping 引导配置：Bootstrap 组件（init-cfg.txt：基础网络/授权配置 + bootstrap.xml：完整防火墙配置）；Bootstrap 数据源（AWS S3/Azure Blob Storage/GCP Cloud Storage/NFS/USB）；Bootstrap 执行流程（首次启动 → 读取配置 → 连接 Panorama）；Panorama Plugin 配置 VM-Series 的 auto-registration；Bootstrapping vs Zero Touch Provisioning 的区别
• CN-Series 容器防火墙：CN-Series 部署模式（DaemonSet 每节点/Centralized 集中部署）；Kubernetes 集成（Namespace/Pod Label 匹配 → 安全策略映射）；容器东西向流量可见性（Pod-to-Pod 微分段）；Kubernetes 准入控制（与 Prisma Cloud 集成）；CN-Series 授权和许可模型
• Panorama 集中管理软件防火墙：Panorama Plugin for VM-Series（AWS/Azure/GCP）；设备组和模板的云端适配（Dynamic Address Group for Cloud Tags）；Log Forwarding for Cloud Deployments；Panorama 软件防火墙扩容流程（配置模板 → 新实例 Bootstrapping → 自动加入 Panorama）

适合人群

云基础设施工程师（Cloud Infrastructure Engineer）和网络安全工程师负责在 AWS/Azure/GCP 虚拟化环境中部署和管理 Palo Alto VM-Series 防火墙，以及 Kubernetes 平台管理员（Platform Engineer）希望部署 CN-Series 容器防火墙保护云原生应用的技术人员。