Palo Alto

Palo Alto Doğal Dil Skill

PAN-OS firewall'una doğrudan Claude Code üzerinden iş yaptırır. Müşteri tek cümle yazar — skill geri kalanını yapar.

Kullanım Modeli

1. Müşteri tek cümlede konuyu söyler.

   "10.0.0.1, admin/MyPass123. 198.51.100.108'in 80 portu 192.168.1.50:90'a yönlendir."

2. Claude credential'ları env var olarak set eder, ilgili script'i çağırır. Credential'lar process içinde yaşar, exit'te kaybolur.
3. Skill çakışma kontrolü yapar, hata varsa açıklayıcı Türkçe mesaj döner; sorun yoksa uygular ve commit eder.

Claude'un Akış Şeması

Claude bu skill'i kullanırken şu adımları takip eder:

Adım 0 — Auto-update (otomatik)

dnat.py, restrict_source.py ve free_ip.py main()'ları başlangıçta runtime.auto_update() çağırır; bu da update.sh'i best-effort olarak fork eder (24h cache, network hatası silent skip, timeout 15s). Skill her zaman en güncel commit ile çalışır, Claude'un ek bir şey yapması gerekmez.

Devre dışı bırakmak istersen (test ortamı): export PALO_ALTO_SKIP_AUTO_UPDATE=1.

Adım 1 — Firewall bilgilerini topla

Eğer henüz bilinmiyorsa, müşteriden iste:

• host (firewall mgmt IP veya FQDN)
• username ve password (veya doğrudan API key)
• Self-signed cert kullanıyorsa: insecure=true (varsayılan)

Müşteri aynı sohbette daha önce verdiyse aynı bilgileri kullan — yeniden sorma.

Adım 2 — Bağlantı kurulumu (ilk kullanımda)

macOS/Linux:

bash ~/.claude/skills/palo-alto/scripts/setup.sh

Windows (PowerShell):

powershell -ExecutionPolicy Bypass -File "$env:USERPROFILE\.claude\skills\palo-alto\scripts\setup.ps1"

Her iki platformda da sadece Python venv + pan-os-python kurar. Credential sormaz, hiçbir şey saklamaz.

Adım 3 — İsteğe göre script çağrısı

Komutu çalıştırırken sadece işletim sistemine göre python yolu ve env var söz dizimi değişir; argümanlar ve script aynıdır.

DNAT — müşteri spesifik WAN IP söylediyse:

"198.51.100.108'in 80 portu 192.168.1.50:90'a yönlendir"

macOS/Linux:

PANOS_HOST=10.0.0.1 \
PANOS_USERNAME=admin \
PANOS_PASSWORD=MyPass123 \
PANOS_INSECURE=1 \
~/.palo-alto/venv/bin/python ~/.claude/skills/palo-alto/scripts/dnat.py \
  --wan-ip 198.51.100.108 \
  --public-port 80 \
  --target-ip 192.168.1.50 \
  --target-port 90

Windows (PowerShell):

$env:PANOS_HOST='10.0.0.1'
$env:PANOS_USERNAME='admin'
$env:PANOS_PASSWORD='MyPass123'
$env:PANOS_INSECURE='1'
& "$env:USERPROFILE\.palo-alto\venv\Scripts\python.exe" `
  "$env:USERPROFILE\.claude\skills\palo-alto\scripts\dnat.py" `
  --wan-ip 198.51.100.108 --public-port 80 `
  --target-ip 192.168.1.50 --target-port 90

DNAT — müşteri "boş bir IP bul" dediyse:

"Boş bir IP'nin 80 portu 192.168.1.50:90'a yönlensin"

PANOS_HOST=... PANOS_USERNAME=... PANOS_PASSWORD=... PANOS_INSECURE=1 \
~/.palo-alto/venv/bin/python ~/.claude/skills/palo-alto/scripts/dnat.py \
  --public-port 80 --target-ip 192.168.1.50 --target-port 90

Source IP kısıtlama:

"RULE_108 sadece 203.0.113.46 için açık olsun"

PANOS_HOST=... ... ~/.palo-alto/venv/bin/python \
  ~/.claude/skills/palo-alto/scripts/restrict_source.py \
  --rule RULE_108 --source-ips 203.0.113.46

Boş IP/port önizleme (read-only):

PANOS_HOST=... ... ~/.palo-alto/venv/bin/python \
  ~/.claude/skills/palo-alto/scripts/free_ip.py [--port 80]

Adım 4 — JSON sonucunu yorumla

Tüm script'ler stdout'a JSON döner. Hata yoksa "status": "applied", hata varsa "status": "error" + "kind" + "error".

Hata türleri ve Claude'un müşteriye söyleyeceği şey

Çakışma Kontrol Mantığı (Müşterinin Beklediği Davranış)

Müşteri "198.51.100.99'un 80 portu ..." dediğinde skill ŞU sırayla kontrol eder:

1. IP formatı geçerli mi? Değilse → reddedilir.
2. IP firewall'un WAN subnet'inde mi? 198.51.100.96/28 dışında bir IP verdiyse (örnek: 1.2.3.4) → wan_subnet_mismatch hatası.
3. Bu IP'de istenen port/range zaten başka NAT rule'da kullanılıyor mu? Evet ise → port_conflict hatası + çakışan rule isimleri.
   • Service-group'ları açar; PORT_7081_TCP veya 7000-7010 range'i de tetikler.
   • service=any kuralı varsa o IP'nin TÜM portları tutuluyor sayılır.
   • Firewall'un kendi WAN IP'si de DNAT için geçerli hedef sayılır (tek-public-IP'li kurumlar için yaygın). Sadece port çakışması varsa engellenir.
4. Aynı isimde NAT/security rule farklı parametre ile var mı? Evet ise → object_conflict (üzerine YAZILMAZ).
5. Aynı isimde, aynı parametre ile var mı? → No-op (idempotent, tekrar çalıştırma güvenli).

Hard Isolation — Skill Yalnızca Kendi Yarattığı Kurallara Müdahale Eder

Skill'in yazma yetkisi kasten dar:

Marker kontrolü description.startswith("[skill-managed]") ile yapılır. Operatörün manuel yarattığı her şey skill'in dokunamayacağı alandadır. Discovery (free_ip.py, conflict scan) read-only olduğu için operatör config'ini okuyabilir, sadece yazma kapsamı kısıtlıdır.

--remove ve Otomatik GC

Bir kuralı sildiğinde (dnat.py --remove RULExxx veya doğal dil "RULExxx'i sil"):

1. NAT rule skill-managed mi? Değilse not_owned ile reddedilir.
2. Naming convention'la eşleşen security rule (RULE_xxx) bulunur — skill-managed ise silinir; operatör'ünki ise dokunulmaz.
3. Otomatik orphan cleanup: İki kuralın referans verdiği address/service objeleri taranır. Bir obje SİLİNİR ancak şu şartlarda:
   • Description'ında [skill-managed] marker'ı taşıyor, VE
   • Hiçbir başka NAT/security rule veya group bu objeyi kullanmıyor.
4. Address-group içindeki üyeler recursive olarak temizlenir.
5. Tüm değişiklikler tek commit ile uygulanır.

JSON sonucu deleted_orphans ve kept_objects (name, reason) listelerini içerir. reason örnekleri: not-skill-managed, used-by-N-other-refs.

--update — Mevcut Kuralın İç Hedefini Değiştir

dnat.py --update RULE100 --target-ip 10.0.10.222 --target-port 9090

destination_translated_address + destination_translated_port güncellenir. Kuralın adı, WAN tarafı, zone'lar, source filter, service object, eşli security policy — hepsi olduğu gibi kalır. Tek değişen iç hedef.

Operatör kuralında çalıştığında skill yeni target address objesini [skill-managed] marker ile yaratır (gelecekteki GC için). Eski destination address skill-managed ve sıfır referans ise GC'ye girer; operatör objesi ise korunur. Yanıttaki rule_owned_by: "skill"|"operator" hangi yolu izlediğini gösterir.

Mimari Kararlar

1. Credential persistence YOK — env var üzerinden geçer, process exit'te kaybolur. Şifre asla diske yazılmaz.
2. pan-os-python SDK — direkt Python kütüphanesi. Idempotency, conflict detection ve transaction kontrolü güvenilir.
3. TLS — PANOS_INSECURE=1 ile self-signed cert kabul edilir (firewall mgmt cert'leri genelde self-signed olduğu için müşteri-dostu). PANOS_CA_BUNDLE ile pinned cert mümkün. Default behavior PAN-OS gerçekliğine uygundur.
4. Tek müşteri tek firewall — customer_id veya profile dosyası yok. Müşteri kendi Claude'unu kurar, kendi firewall'una bağlanır.
5. Direct apply + commit — başarısızlıkta PAN-OS candidate'ı otomatik geri alır.
6. Naming convention — WAN_IF108, SERVER_50, SVC_80_TCP, RULE108, RULE_108. Standart PA naming pattern. Override PANOS_* env var'ları ile mümkün (zone/interface).
7. Default security profile — yeni security rule'a virus=default, spyware=strict, vulnerability=strict, wildfire-analysis=default uygulanır (yaygın güvenlik baseline).
8. [skill-managed] marker'ı — yaratılan her address/service/group/NAT/security objesinin description alanına eklenir. --remove'un otomatik orphan cleanup'ı sadece bu marker'ı taşıyan + zero-reference objeleri siler; operatörün elle yarattığı her şey korunur.

Dosya İndeksi

Env Var Referansı