如何用Flask应用接收Palo Alto防火墙的TXT/XML流量日志？

问题概述 #

需搭建Flask服务接收Palo Alto防火墙推送的XML格式流量日志，当前脚本因请求解析方式错误，无法正确获取日志数据。

当前脚本的核心问题 #

你的脚本使用request.form解析请求，但Palo Alto防火墙发送的是text/xml格式的POST请求，并非表单编码数据（application/x-www-form-urlencoded），因此无法通过request.form获取有效内容。此外，脚本未处理防火墙配置的Basic认证，可能导致请求被直接拒绝。

修正后的Flask脚本 #

import flask
from flask import request
import xml.etree.ElementTree as ET

app = flask.Flask(__name__)

# 验证Basic认证（匹配Palo Alto配置的用户名密码）
def check_auth(username, password):
    return username == 'admin' and password == 'admin'

def authenticate():
    return flask.Response(
        '请提供正确的认证信息', 401,
        {'WWW-Authenticate': 'Basic realm=\"Palo Alto Log Receiver\"'}
    )

@app.route('/', methods=['POST'])
def receive_log():
    # 先处理Basic认证
    auth = request.authorization
    if not auth or not check_auth(auth.username, auth.password):
        return authenticate()

    # 读取并解析XML请求体
    try:
        # 获取原始XML文本
        xml_raw = request.get_data(as_text=True)
        print(f"原始XML日志: {xml_raw}")
        
        # 解析XML结构
        root = ET.fromstring(xml_raw)
        # 提取指定字段（示例：提取日志类型）
        log_type = root.find('.//short_description').text
        print(f"解析出的日志类型: {log_type}")

        # 此处可添加日志存储、分析逻辑（如写入数据库、文件）

    except ET.ParseError as e:
        print(f"XML格式解析错误: {e}")
        return {"message": "XML格式无效", "error": str(e)}, 400
    except Exception as e:
        print(f"请求处理失败: {e}")
        return {"message": "服务器内部错误", "error": str(e)}, 500

    return {"message": "日志接收成功", "log_type": log_type}

if __name__ == '__main__':
    # 开发环境临时启动方式，生产环境需配置HTTPS
    # 若本地测试HTTPS，可添加ssl_context参数：ssl_context=('cert.pem', 'key.pem')
    app.run(debug=False, host="0.0.0.0", port=8080)

Palo Alto防火墙配置验证 #

确认你的防火墙配置符合以下要求：

HTTP服务器配置 #

• 名称：MyServer
• 地址：myserver.runn.app（需确保该地址可访问你的Flask服务）
• 协议：HTTPS
• 端口：443
• TLS版本：1.2
• 证书配置文件：无（若使用自签名证书，需在防火墙端信任该证书）
• HTTP方法：POST
• 用户名：admin
• 密码：admin

流量日志负载格式 #

• 名称：Traffic-Payload
• HTTP头：content-type: text/xml
• 负载：<request><entry><short_description> $type</short_description></entry></request>（$type为防火墙内置变量，会自动替换为实际日志类型）

生产环境注意事项 #

1. HTTPS配置：生产环境必须配置HTTPS以匹配防火墙的协议要求，推荐使用Nginx等反向代理处理SSL终止，再将请求转发到Flask服务；若直接用Flask启动，需指定合法的SSL证书。
2. 日志扩展处理：示例仅解析了short_description字段，可根据需求提取更多防火墙日志变量（如$src源IP、$dst目标IP、$rule匹配规则等）。
3. 稳定性优化：可添加日志持久化、错误告警、请求重试等逻辑，提升服务可靠性。

内容的提问来源于stack exchange，提问作者Europa