Характеристики на конфигурацията на Palo Alto Networks: SSL VPN

Въпреки всички предимства на файъруолите на Palo Alto Networks, онлайн в руския интернет не се намират много материали за конфигуриране на тези устройства, както и текстове, описващи опита от тяхното внедряване. Решихме да обобщим материалите, събрани от нас през времето на работа с оборудването на този производител и да разкажем за особеностите, с които се сблъскахме по време на реализацията на различни проекти.

За запознаване с Palo Alto Networks в тази статия ще разгледаме настройките, необходими за решаване на една от най-разпространените задачи на файъруолите — SSL VPN за отдалечен достъп. Също така ще обсъдим допълнителни функции за обща конфигурация на файърула, идентификация на потребители, приложения и политики за сигурност. Ако темата заинтересува читателите, в бъдеще ще публикуваме материали с анализ на Site-to-Site VPN, динамично маршрутизиране и централизирано управление с помощта на Panorama.

Файърулите на Palo Alto Networks използват редица иновационни технологии, включително App-ID, User-ID и Content-ID. Използването на тази функционалност позволява да се осигури висок nivo на сигурност. Например, с помощта на App-ID е възможно да се идентифицира трафика на приложенията на базата на сигнатури, декодиране и евристика, независимо от използвания порт и протокол, включително вътре в SSL тунела. User-ID позволява идентификация на потребителите в мрежата чрез интеграция с LDAP. Content-ID дава възможност за сканиране на трафика и идентификация на предаваните файлове и тяхното съдържание. Сред другите функции на файърулите могат да се откроят защита от атаки, защита от уязвимости и DoS атаки, вграден антишпион, URL филтриране, клъстеризация и централизирано управление.

За демонстрация ще използваме изолиран стенд, с конфигурация, идентична на реалната, с изключение на имената на устройствата, името на домейна AD и IP адресите. В действителност всичко е по-сложно — филиалите могат да бъдат много. На границите на централните площадки в такъв случай вместо един фалъруол ще бъде инсталиран клъстер, може да се наложи и динамична маршрутизация.

На стенда се използва PAN-OS 7.1.9. Като типична конфигурация ще разгледаме мрежа с междуетажен екран Palo Alto Networks на границата. Междуетажният екран предоставя отдалечен достъп SSL VPN до централния офис. Като база данни за потребители ще се използва домейн Active Directory (фигура 1).

Фигура 1 – Структурна схема на мрежата

Стъпки за конфигуриране:

1. Първоначална настройка на устройството. Задаване на име, IP адреси управление, статични маршрути, администраторски акаунти, профили за управление
2. Инсталиране на лицензи, настройка и инсталиране на актуализации
3. Настройка на защитни зони, мрежови интерфейси, политика за трафик, преобразуване на адреси
4. Настройка на профила за удостоверяване LDAP и функции за идентификация на потребителите
5. Настройка на SSL VPN

1. Първоначална настройка

Основният инструмент за настройка на междуетажния екран Palo Alto Networks е уеб-интерфейсът, но е възможно и управление чрез CLI. По подразбиране на интерфейса за управление е зададен IP адрес 192.168.1.1/24, логин: admin, парола: admin.

Адресът може да бъде променен или чрез свързване към уеб-интерфейса от същата мрежа, или чрез командата set deviceconfig system ip-address netmask. Тя се изпълнява в режим на конфигуриране. За да преминете в режим на конфигуриране, се използва командата конфигурирайте. Всички промени на междуетажния екран се извършват само след потвърждение на настройките с командата commit, както в режим на командния ред, така и в уеб-интерфейса.

За промяна на настройките в уеб-интерфейса се използва разделът Device -> General Settings и Device -> Management Interface Settings. Име, банери, часови пояс и други настройки могат да се зададат в раздела General Settings (фигура 2).

Фигура 2 – Параметри на интерфейса за управление

В случай, че се използва виртуален междуетажен екран в среда ESXi, в раздела General Settings трябва да се активира използването на MAC адреса, зададен от хипервизора, или да се настроят на хипервизора MAC адресите, зададени на интерфейсите на междуетажния екран, или да се променят настройките на виртуалните комутатори, за да се разрешат промените на MAC адресите. В противен случай, трафикът няма да премине.

Интерфейсът за управление се настройва отделно и не се показва в списъка на мрежовите интерфейси. В раздела Management Interface Settings се посочва шлюзът по подразбиране за интерфейса за управление. Други статични маршрути се настройват в раздела на виртуалните маршрутизатори, за което ще бъде писано след това.

За да се разреши достъпът до устройството през други интерфейси, е необходимо да се създаде управленски профил. Профил за управление в раздела Network -> Network Profiles -> Interface Mgmt и да се назначи на съответния интерфейс.

След това е необходимо да се настроят DNS и NTP в раздела Device -> Services за получаване на актуализации и коректно отображение на времето (фиг. 3). По подразбиране целият трафик, генериран от защитната стена, използва IP адреса на управленския интерфейс като адрес на източника. Може да се назначи друг интерфейс за всяка конкретна услуга в раздела Service Route Configuration.

Фигура 3 – Настройки на услугите DNS, NTP и системни маршрути

2. Инсталиране на лицензи, настройка и инсталиране на актуализации

За да функционират всички функции на защитната стена, е необходимо да се инсталира лиценз. Може да се използва пробен лиценз, който може да бъде поискан от партньорите на Palo Alto Networks. Срокът на действие е 30 дни. Лицензът се активира либо чрез файл, либо с помощта на Auth-Code. Лицензите се настройват в раздела Device -> Licenses (фиг. 4).
След инсталирането на лиценза е необходимо да се настрои инсталирането на актуализации в раздела Device -> Dynamic Updates.
В секцията Device -> Software може да се изтегли и инсталира нова версия на PAN-OS.

Фигура 4 – Контролен панел на лицензиите

3. Настройка на защитни зони, мрежови интерфейси, трафикова политика, транслация на адреси

Защитните стени на Palo Alto Networks прилагат логика на зони при настройката на мрежови правила. Мрежовите интерфейси се назначават на определена зона, която се използва в трафиковите правила. Този подход позволява в бъдеще при промяна на настройките на интерфейсите да не се променят правилата за трафик, а вместо това да се назначат нужните интерфейси в съответните зони. По подразбиране трафикът в рамките на зона е разрешен, а трафикът между зоните е забранен, което се управлява от предварително зададените правила intrazone-default и interzone-default.

Фигура 5 – Защитни зони

В този пример интерфейсът във вътрешната мрежа е назначен в зона internal, а интерфейсът, насочен към Интернет, е назначен в зона external. За SSL VPN е създаден тунелен интерфейс, назначен в зона vpn (фиг. 5).

Мрежовите интерфейси на защитната стена на Palo Alto Networks могат да работят в пет различни режима:

• Tap – използва се за събиране на трафик с цел мониторинг и анализ
• HA – използва се за работа на клъстер
• Virtual Wire – в този режим Palo Alto Networks комбинира два интерфейса и прозрачно пропуска трафика между тях, без да променя MAC и IP адресите
• Layer2 – режим на превключвателя
• Layer3 – режим на маршрутизатора

Рисунка 6 – Настройка на режима на работа на интерфейса

В този пример ще бъде използван режим Layer3 (рис. 6). В параметрите на мрежовия интерфейс се указва IP адрес, режим на работа и съответната зона за сигурност. Освен режима на работа на интерфейса, трябва да бъде назначен към виртуалния маршрутизатор Virtual Router, който е аналог на VRF инстанцията в Palo Alto Networks. Виртуалните маршрутизатори са изолирани един от друг и имат свои таблици за маршрутизиране и настройки на мрежовите протоколи.

В настройките на виртуалния маршрутизатор се указват статични маршрути и настройки на протоколите за маршрутизиране. В този пример е създаден само маршрут по подразбиране за достъп до външни мрежи (рис. 7).

Рисунка 7 – Настройка на виртуалния маршрутизатор

Следващият етап на настройка – политики за трафик, раздел Policies -> Security. Примерът за настройка е показан на рисунка 8. Логиката на работа на правилата е същата, както при всички защитни стени. Правилата се проверяват отгоре надолу, до първото съвпадение. Кратко описание на правилата:

1. SSL VPN Access to Web Portal. Позволява достъп до уеб-портала за удостоверяване на отдалечени връзки
2. VPN трафик – разрешаване на трафика между отдалечени връзки и централния офис
3. Basic Internet – разрешаване на приложения dns, ping, traceroute, ntp. Защитната стена разрешава приложения на базата на сигнатури, декодиране и евристика, а не на основа на номера на портовете и протоколите, поради което в раздел Service е посочено application-default. Порт/протокол по подразбиране за това приложение
4. Web Access – разрешаване на достъп до интернет през протоколите HTTP и HTTPS без контрол на приложенията
5,6. Правила по подразбиране за целия останал трафик.

Рисунка 8 — Пример за настройка на мрежовите правила

За настройка на NAT се използва раздел Policies -> NAT. Примерът за настройка на NAT е показан на рисунка 9.

Рисунка 9 – Пример за настройка на NAT

За всеки трафик от internal към external може да се промени адресът на източника на външния IP адрес на защитната стена и да се използва динамичен адрес на порта (PAT).

4. Настройка на профила за удостоверяване LDAP и функцията User Identification
Преди да свържете потребителите чрез SSL-VPN, е необходимо да конфигурирате механизма за автентикация. В този пример автентикацията ще се извършва на контролера на домейн Active Directory чрез уеб интерфейса на Palo Alto Networks.

Рисунок 10 – LDAP профил

За да работи автентикацията, трябва да конфигурирате LDAP профил и Профил за автентикация. В раздела Устройство -> Сървърни профили -> LDAP (рис. 10) трябва да посочите IP адреса и порта на контролера на домейн, типа LDAP и потребителското име на акаунта, който е част от групите Оператори на сървъра, Читатели на събития, Потребители на разпределен COM. След това в раздела Устройство -> Профил за автентикация създаваме профил за автентикация (рис. 11), отбелязваме създадения по-рано LDAP профил и в таба Advanced посочваме групата потребители (рис. 12), на които е разрешен отдалечен достъп. Важно е да се отбележи параметъра в профила Потребителски домейн, иначе авторизацията на базата на групи няма да работи. В полето трябва да укажете NetBIOS името на домейна.

Рисунок 11 – Профил за автентикация

Рисунок 12 – Избор на група AD

Следващата стъпка е настройката на Устройство -> Идентификация на потребителите. Тук трябва да посочите IP адреса на контролера на домейн, данните за вход, а също така да конфигурирате параметрите Активиране на журнал за сигурност, Активиране на сесия, Активиране на пробна проверка (рис. 13). В раздела Групово картографиране (рис. 14) трябва да отбележите параметрите за идентификация на обекти в LDAP и списъка на групите, които ще се използват за авторизация. Както в Профила за автентикация, тук също трябва да зададете параметъра Потребителски домейн.

Рисунок 13 – Параметри на картографиране на потребителите

Рисунок 14 – Параметри на груповото картографиране

Последната стъпка в този етап ще бъде създаването на VPN зона и интерфейс за тази зона. На интерфейса трябва да активирате параметъра Активиране на идентификация на потребителите (рис. 15).

Рисунок 15 – Настройка на VPN зона

5. Настройка на SSL VPN

Преди свързването с SSL VPN, отдалеченият потребител трябва да влезе в уеб портала, да премине проверка на идентичността и да изтегли клиента Global Protect. След това, този клиент ще поиска потребителски данни и ще се свърже с корпоративната мрежа. Уеб порталът работи в режим https и следователно е необходимо да се инсталира сертификат за него. Използвайте публичен сертификат, ако е възможно. Тогава на потребителя няма да бъде издадено предупреждение за невалидност на сертификата на сайта. Ако не е възможно да се използва публичен сертификат, трябва да се издаде собствен, който ще се прилага на уеб страницата за https. Той може да бъде самоподписан или издаден чрез локален център за сертификация. Отдалеченият компютър трябва да има коренов или самоподписан сертификат в списъка с доверени коренови центрове, за да не получи потребителят грешка при свързването с уеб портала. В този пример ще се използва сертификат, издаден чрез центъра за сертификация на Active Directory Certificate Services.

За издаването на сертификат е необходимо да се създаде заявка за сертификат в раздела Устройство -> Управление на сертификати -> Сертификати -> Генериране. В заявката посочваме името на сертификата и IP адреса или FQDN на уеб портала (рис. 16). След генерирането на заявката изтегляме .csr файл и копираме съдържанието му в полето за заявка на сертификата във уеб формата на AD CS Web Enrollment. В зависимост от настройките на центъра за сертификация, заявката за сертификат трябва да бъде одобрена и да се изтегли издаденият сертификат в формат Сертификат с кодиране Base64. Допълнително трябва да се изтегли кореновият сертификат на центъра за сертификация. След това трябва да се импортира и двата сертификата на междусетевия екран. При импортирането на сертификата за уеб портала е необходимо да се выдели заявката в статус pending и да се натисне import. Името на сертификата трябва да съвпада с посоченото по-рано в заявката. Името на кореновия сертификат може да се зададе произволно. След импорта на сертификата е необходимо да се създаде Профил на SSL/TLS услугата в раздела Устройство -> Управление на сертификати. В профила посочваме вече импортирания сертификат.

Рисунок 16 – Заявка за сертификат

Следващата стъпка – настройка на обектите Glоbal Protect Gateway и Global Protect Portal в раздела Мрежа -> Global Protect. В настройките Glоbal Protect Gateway посочваме външния IP адрес на междусетевия екран, както и преди създадените SSL профил, Профил за автентикация, тунел интерфейс и IP настройки на клиента. Трябва да зададете пул от IP адреси, от който ще бъде назначен адрес на клиента, и Access Route – това са подсетите, до които клиентът ще има маршрут. Ако целта е да се насочи целият трафик на потребителя през защитната стена, е необходимо да бъде посочен подсет 0.0.0.0/0 (рис. 17).

Рисунок 17 – Настройка на пул от IP адреси и маршрути

След това е необходимо да се настрои Global Protect Portal. Посочваме IP адреса на защитната стена, SSL профил и Профил за автентикация и списък с външни IP адреси на защитни стени, към които клиентът ще се свързва. Ако има няколко защитни стени, можете да зададете приоритет за всяка, по който потребителите ще избират защитната стена за свързване.

В секцията Устройство -> GlobalProtect Client трябва да изтеглите дистрибуцията на VPN клиента от сървърите на Palo Alto Networks и да я активирате. За свързване потребителят трябва да влезе на уеб страницата на портала, където ще му бъде предложено да изтегли GlobalProtect Client. След като я изтеглите и инсталирате, можете да въведете своите идентификационни данни и да се свържете с корпоративната мрежа по SSL VPN.

Заключение

С това приключва част от настройките на Palo Alto Networks. Надяваме се информацията да е била полезна и читателят да е получил представа за технологиите, използвани в Palo Alto Networks. Ако имате въпроси относно настройките и желания за теми на бъдещи статии - пишете ги в коментарите, с радост ще отговорим.

Източник: habr.com