পালো অল্টো নেটওয়ার্ক সেটআপ বৈশিষ্ট্য: SSL VPN

পালো অল্টো নেটওয়ার্ক ফায়ারওয়ালের সমস্ত সুবিধা থাকা সত্ত্বেও, এই ডিভাইসগুলি কনফিগার করার জন্য ইন্টারনেটে অনেক উপকরণ নেই, সেইসাথে তাদের বাস্তবায়নের অভিজ্ঞতা বর্ণনা করে পাঠ্য। আমরা এই বিক্রেতার সরঞ্জামগুলির সাথে কাজ করার সময় আমরা যে উপকরণগুলি সংগ্রহ করেছি তা সংক্ষিপ্ত করার সিদ্ধান্ত নিয়েছি এবং বিভিন্ন প্রকল্প বাস্তবায়নের সময় আমরা যে বৈশিষ্ট্যগুলির সম্মুখীন হয়েছি সে সম্পর্কে কথা বলার সিদ্ধান্ত নিয়েছি।

Palo Alto নেটওয়ার্কের পরিচিতির জন্য, এই নিবন্ধটি দূরবর্তী অ্যাক্সেসের জন্য SSL VPN সবচেয়ে সাধারণ ফায়ারওয়াল টাস্কগুলির একটি সমাধান করার জন্য প্রয়োজনীয় সেটিংসটি দেখবে। আমরা সাধারণ ফায়ারওয়াল কনফিগারেশন, ব্যবহারকারী সনাক্তকরণ, অ্যাপ্লিকেশন এবং নিরাপত্তা নীতিগুলির জন্য সহায়ক ফাংশন সম্পর্কেও কথা বলব। বিষয়টি পাঠকদের আগ্রহের বিষয় হলে, ভবিষ্যতে আমরা সাইট-টু-সাইট ভিপিএন, ডাইনামিক রাউটিং এবং প্যানোরামা ব্যবহার করে কেন্দ্রীভূত ব্যবস্থাপনার বিশ্লেষণ সহ উপকরণ প্রকাশ করব।

পালো অল্টো নেটওয়ার্ক ফায়ারওয়াল অ্যাপ-আইডি, ইউজার-আইডি, কন্টেন্ট-আইডি সহ বেশ কয়েকটি উদ্ভাবনী প্রযুক্তি ব্যবহার করে। এই কার্যকারিতার ব্যবহার আপনাকে উচ্চ স্তরের নিরাপত্তা প্রদান করতে দেয়। উদাহরণস্বরূপ, অ্যাপ-আইডি ব্যবহার করে SSL টানেলের ভিতরে সহ ব্যবহৃত পোর্ট এবং প্রোটোকল নির্বিশেষে স্বাক্ষর, ডিকোডিং এবং হিউরিস্টিকসের উপর ভিত্তি করে অ্যাপ্লিকেশন ট্র্যাফিক সনাক্ত করা সম্ভব। ব্যবহারকারী-আইডি আপনাকে LDAP-এর সাথে একীকরণের মাধ্যমে নেটওয়ার্ক ব্যবহারকারীদের সনাক্ত করতে দেয়। Content-ID ট্রাফিক স্ক্যান করা এবং স্থানান্তরিত ফাইল এবং তাদের বিষয়বস্তু সনাক্ত করা সম্ভব করে তোলে। অন্যান্য ফায়ারওয়াল বৈশিষ্ট্যগুলির মধ্যে রয়েছে অনুপ্রবেশ সুরক্ষা, দুর্বলতা এবং DoS আক্রমণের বিরুদ্ধে সুরক্ষা, অন্তর্নির্মিত অ্যান্টি-স্পাইওয়্যার, ইউআরএল ফিল্টারিং, ক্লাস্টারিং এবং কেন্দ্রীয় ব্যবস্থাপনা।

প্রদর্শনের জন্য, আমরা ডিভাইসের নাম, AD ডোমেন নাম এবং IP ঠিকানাগুলি ব্যতীত, বাস্তবের সাথে অভিন্ন একটি কনফিগারেশন সহ একটি বিচ্ছিন্ন স্ট্যান্ড ব্যবহার করব। বাস্তবে, সবকিছু আরও জটিল - অনেকগুলি শাখা থাকতে পারে। এই ক্ষেত্রে, একটি ফায়ারওয়ালের পরিবর্তে, কেন্দ্রীয় সাইটগুলির সীমানায় একটি ক্লাস্টার ইনস্টল করা হবে এবং গতিশীল রাউটিংও প্রয়োজন হতে পারে।

স্ট্যান্ড ব্যবহার করে PAN-OS 7.1.9. একটি সাধারণ কনফিগারেশন হিসাবে, প্রান্তে একটি Palo Alto নেটওয়ার্ক ফায়ারওয়াল সহ একটি নেটওয়ার্ক বিবেচনা করুন। ফায়ারওয়াল হেড অফিসে দূরবর্তী SSL VPN অ্যাক্সেস প্রদান করে। সক্রিয় ডিরেক্টরি ডোমেন ব্যবহারকারী ডাটাবেস হিসাবে ব্যবহার করা হবে (চিত্র 1)।

চিত্র 1 - নেটওয়ার্কের ব্লক ডায়াগ্রাম

সেটআপ স্টেপস:

1. ডিভাইস প্রিসেট। সেটিং নাম, ম্যানেজমেন্ট আইপি অ্যাড্রেস, স্ট্যাটিক রুট, অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট, ম্যানেজমেন্ট প্রোফাইল
2. লাইসেন্স ইনস্টল করা, কনফিগার করা এবং আপডেট ইনস্টল করা
3. নিরাপত্তা অঞ্চল, নেটওয়ার্ক ইন্টারফেস, ট্রাফিক নীতি, ঠিকানা অনুবাদ সেট আপ করা
4. LDAP প্রমাণীকরণ প্রোফাইল এবং ব্যবহারকারী সনাক্তকরণ কনফিগার করা হচ্ছে
5. একটি SSL VPN কনফিগার করা হচ্ছে

1. প্রিসেট

Palo Alto নেটওয়ার্ক ফায়ারওয়াল কনফিগার করার প্রধান টুল হল একটি ওয়েব ইন্টারফেস, এবং CLI এর মাধ্যমে ব্যবস্থাপনাও সম্ভব। ডিফল্টরূপে, ম্যানেজমেন্ট ইন্টারফেসের আইপি ঠিকানা 192.168.1.1/24, লগইন: অ্যাডমিন, পাসওয়ার্ড: অ্যাডমিন থাকে।

আপনি একই নেটওয়ার্ক থেকে ওয়েব ইন্টারফেসে সংযোগ করে বা কমান্ড ব্যবহার করে ঠিকানা পরিবর্তন করতে পারেন ডিভাইস কনফিগারেশন সিস্টেম আইপি-ঠিকানা <> নেটমাস্ক <> সেট করুন. এটি কনফিগারেশন মোডে চলে। কনফিগারেশন মোডে স্যুইচ করতে, কমান্ডটি ব্যবহার করুন কনফিগার. কমান্ড দ্বারা সেটিংস নিশ্চিত হওয়ার পরেই ফায়ারওয়ালের সমস্ত পরিবর্তন ঘটে সমর্পণ করা, কমান্ড লাইন মোডে এবং ওয়েব ইন্টারফেসে উভয়ই।

ওয়েব ইন্টারফেসে সেটিংস পরিবর্তন করতে, বিভাগটি ব্যবহার করুন ডিভাইস -> সাধারণ সেটিংস এবং ডিভাইস -> ম্যানেজমেন্ট ইন্টারফেস সেটিংস। নাম, ব্যানার, সময় অঞ্চল এবং অন্যান্য সেটিংস সাধারণ সেটিংস বিভাগে সেট করা যেতে পারে (চিত্র 2)।

চিত্র 2 - নিয়ন্ত্রণ ইন্টারফেস পরামিতি

যদি একটি ভার্চুয়াল ফায়ারওয়াল একটি ESXi পরিবেশে ব্যবহার করা হয়, সাধারণ সেটিংস বিভাগে, আপনাকে হাইপারভাইজার দ্বারা নির্ধারিত MAC ঠিকানা ব্যবহার সক্ষম করতে হবে, অথবা ফায়ারওয়াল ইন্টারফেসে নির্দিষ্ট হাইপারভাইজারে MAC ঠিকানাগুলি কনফিগার করতে হবে, বা সেটিংস পরিবর্তন করতে হবে। ভার্চুয়াল সুইচের MAC ঠিকানা পরিবর্তন করার অনুমতি দেয়। অন্যথায়, যানজট পাস হবে না.

ম্যানেজমেন্ট ইন্টারফেস আলাদাভাবে কনফিগার করা হয় এবং নেটওয়ার্ক ইন্টারফেসের তালিকায় প্রদর্শিত হয় না। অধ্যায়ে ম্যানেজমেন্ট ইন্টারফেস সেটিংস ম্যানেজমেন্ট ইন্টারফেসের জন্য ডিফল্ট গেটওয়ে নির্দিষ্ট করে। অন্যান্য স্ট্যাটিক রুটগুলি ভার্চুয়াল রাউটার বিভাগে কনফিগার করা হয়েছে, যা পরে আলোচনা করা হবে।

অন্যান্য ইন্টারফেসের মাধ্যমে ডিভাইসে অ্যাক্সেসের অনুমতি দিতে, আপনাকে অবশ্যই একটি ব্যবস্থাপনা প্রোফাইল তৈরি করতে হবে ম্যানেজমেন্ট প্রোফাইল অধ্যায় নেটওয়ার্ক -> নেটওয়ার্ক প্রোফাইল -> ইন্টারফেস Mgmt এবং এটি উপযুক্ত ইন্টারফেসে বরাদ্দ করুন।

পরবর্তী, বিভাগে আপনাকে DNS এবং NTP কনফিগার করতে হবে ডিভাইস -> পরিষেবা আপডেট পেতে এবং সঠিকভাবে সময় প্রদর্শন করতে (চিত্র 3)। ডিফল্টরূপে, ফায়ারওয়াল দ্বারা উত্পন্ন সমস্ত ট্র্যাফিক তার উত্স আইপি ঠিকানা হিসাবে ব্যবস্থাপনা ইন্টারফেসের আইপি ঠিকানা ব্যবহার করে। আপনি বিভাগে প্রতিটি নির্দিষ্ট পরিষেবার জন্য একটি ভিন্ন ইন্টারফেস বরাদ্দ করতে পারেন সার্ভিস রুট কনফিগারেশন.

চিত্র 3 - DNS, NTP পরিষেবা এবং সিস্টেম রুটের পরামিতি

2. লাইসেন্স ইনস্টল করা, সেট আপ এবং আপডেট ইনস্টল করা

সমস্ত ফায়ারওয়াল ফাংশনের সম্পূর্ণ অপারেশনের জন্য, আপনাকে অবশ্যই একটি লাইসেন্স ইনস্টল করতে হবে। আপনি Palo Alto নেটওয়ার্কের অংশীদারদের কাছ থেকে অনুরোধ করে একটি ট্রায়াল লাইসেন্স ব্যবহার করতে পারেন। এর মেয়াদ 30 দিন। লাইসেন্সটি একটি ফাইলের মাধ্যমে বা প্রমাণ-কোড ব্যবহার করে সক্রিয় করা হয়। লাইসেন্স বিভাগে কনফিগার করা হয় ডিভাইস -> লাইসেন্স (অঙ্কুর। 4)।
লাইসেন্স ইনস্টল করার পরে, আপনাকে বিভাগে আপডেটের ইনস্টলেশন কনফিগার করতে হবে ডিভাইস -> ডায়নামিক আপডেট.
অধ্যায় ডিভাইস -> সফটওয়্যার আপনি PAN-OS এর নতুন সংস্করণ ডাউনলোড এবং ইনস্টল করতে পারেন।

চিত্র 4 - লাইসেন্স নিয়ন্ত্রণ প্যানেল

3. নিরাপত্তা অঞ্চল, নেটওয়ার্ক ইন্টারফেস, ট্রাফিক নীতি, ঠিকানা অনুবাদ সেট আপ করা

Palo Alto Networks ফায়ারওয়াল নেটওয়ার্ক নিয়ম কনফিগার করার সময় জোন লজিক ব্যবহার করে। নেটওয়ার্ক ইন্টারফেস একটি নির্দিষ্ট অঞ্চলে বরাদ্দ করা হয়, এবং এটি ট্রাফিক নিয়মে ব্যবহৃত হয়। এই পদ্ধতিটি ভবিষ্যতে ইন্টারফেস সেটিংস পরিবর্তন করার সময়, ট্রাফিক নিয়ম পরিবর্তন না করে, উপযুক্ত জোনে প্রয়োজনীয় ইন্টারফেসগুলিকে পুনরায় বরাদ্দ করার অনুমতি দেয়। ডিফল্টরূপে, জোনের মধ্যে ট্র্যাফিক অনুমোদিত, জোনের মধ্যে ট্র্যাফিক নিষিদ্ধ, পূর্বনির্ধারিত নিয়ম এর জন্য দায়ী ইন্ট্রাজোন-ডিফল্ট и ইন্টারজোন-ডিফল্ট.

চিত্র 5 - নিরাপত্তা অঞ্চল

এই উদাহরণে, অভ্যন্তরীণ নেটওয়ার্কের ইন্টারফেস জোনে বরাদ্দ করা হয়েছে অভ্যন্তরীণ, এবং ইন্টারনেটে নির্দেশিত ইন্টারফেস জোনে বরাদ্দ করা হয়েছে বহিরাগত. SSL VPN এর জন্য একটি টানেল ইন্টারফেস তৈরি করা হয়েছে এবং জোনে বরাদ্দ করা হয়েছে VPN (অঙ্কুর। 5)।

পালো অল্টো নেটওয়ার্ক ফায়ারওয়াল নেটওয়ার্ক ইন্টারফেস পাঁচটি ভিন্ন মোডে কাজ করতে পারে:

• টোকা - পর্যবেক্ষণ এবং বিশ্লেষণের উদ্দেশ্যে ট্রাফিক সংগ্রহ করতে ব্যবহৃত হয়
• HA - ক্লাস্টার অপারেশন জন্য ব্যবহৃত
• ভার্চুয়াল তার - এই মোডে, পালো অল্টো নেটওয়ার্ক দুটি ইন্টারফেসকে একত্রিত করে এবং MAC এবং IP ঠিকানা পরিবর্তন না করে স্বচ্ছভাবে তাদের মধ্যে ট্রাফিক পাস করে।
• LAYER2 - সুইচ মোড
• LAYER3 - রাউটার মোড

চিত্র 6 - ইন্টারফেস অপারেশন মোড সেট করা হচ্ছে

এই উদাহরণে, Layer3 মোড ব্যবহার করা হবে (চিত্র 6)। নেটওয়ার্ক ইন্টারফেস পরামিতি IP ঠিকানা, অপারেশন মোড, এবং সংশ্লিষ্ট নিরাপত্তা অঞ্চল নির্দিষ্ট করে। ইন্টারফেসের অপারেটিং মোড ছাড়াও, আপনাকে অবশ্যই এটি ভার্চুয়াল রাউটার ভার্চুয়াল রাউটারে বরাদ্দ করতে হবে, এটি পালো অল্টো নেটওয়ার্কে ভিআরএফ উদাহরণের একটি অ্যানালগ। ভার্চুয়াল রাউটার একে অপরের থেকে বিচ্ছিন্ন এবং তাদের নিজস্ব রাউটিং টেবিল এবং নেটওয়ার্ক প্রোটোকল সেটিংস রয়েছে।

ভার্চুয়াল রাউটার সেটিংস স্ট্যাটিক রুট এবং রাউটিং প্রোটোকল সেটিংস নির্দিষ্ট করে। এই উদাহরণে, বহিরাগত নেটওয়ার্ক অ্যাক্সেস করার জন্য শুধুমাত্র ডিফল্ট রুট তৈরি করা হয়েছে (চিত্র 7)।

চিত্র 7 - একটি ভার্চুয়াল রাউটার কনফিগার করা

পরবর্তী কনফিগারেশন ধাপ হল ট্রাফিক নীতি, বিভাগ নীতি -> নিরাপত্তা. সেটিং এর একটি উদাহরণ চিত্র 8 এ দেখানো হয়েছে। নিয়মের যুক্তি সব ফায়ারওয়ালের মতই। প্রথম ম্যাচ পর্যন্ত নিয়মগুলি উপরে থেকে নীচে চেক করা হয়। নিয়মের সংক্ষিপ্ত বিবরণঃ

1. ওয়েব পোর্টালে SSL VPN অ্যাক্সেস। দূরবর্তী সংযোগগুলি প্রমাণীকরণের জন্য ওয়েব পোর্টালে অ্যাক্সেসের অনুমতি দেয়৷
2. ভিপিএন ট্রাফিক - দূরবর্তী সংযোগ এবং প্রধান কার্যালয়ের মধ্যে ট্র্যাফিকের অনুমতি দেয়
3. বেসিক ইন্টারনেট - dns, ping, traceroute, ntp অ্যাপ্লিকেশনের অনুমতি দেয়। ফায়ারওয়াল পোর্ট নম্বর এবং প্রোটোকলের পরিবর্তে স্বাক্ষর, ডিকোডিং এবং হিউরিস্টিকসের উপর ভিত্তি করে অ্যাপ্লিকেশনগুলিকে অনুমতি দেয়, এই কারণেই পরিষেবা বিভাগটি অ্যাপ্লিকেশন-ডিফল্ট বলে। এই অ্যাপ্লিকেশনের জন্য ডিফল্ট পোর্ট/প্রটোকল
4. ওয়েব অ্যাক্সেস - অ্যাপ্লিকেশন নিয়ন্ত্রণ ছাড়াই HTTP এবং HTTPS প্রোটোকলের মাধ্যমে ইন্টারনেট অ্যাক্সেসের অনুমতি দেয়
5,6। অন্যান্য ট্রাফিকের জন্য ডিফল্ট নিয়ম।

চিত্র 8 — নেটওয়ার্ক নিয়ম কনফিগার করার একটি উদাহরণ

NAT কনফিগার করতে, বিভাগটি ব্যবহার করুন নীতি -> NAT. NAT সেট আপ করার একটি উদাহরণ চিত্র 9 এ দেখানো হয়েছে।

চিত্র 9 - NAT সেটআপ উদাহরণ

অভ্যন্তরীণ থেকে বাহ্যিক যে কোনও ট্র্যাফিকের জন্য, আপনি ফায়ারওয়ালের বাহ্যিক আইপি ঠিকানায় উত্স ঠিকানা পরিবর্তন করতে পারেন এবং একটি গতিশীল পোর্ট ঠিকানা (PAT) ব্যবহার করতে পারেন।

4. LDAP প্রমাণীকরণ প্রোফাইল এবং ব্যবহারকারী সনাক্তকরণ ফাংশন কনফিগার করা
SSL-VPN এর মাধ্যমে ব্যবহারকারীদের সাথে সংযোগ করার আগে, আপনাকে একটি প্রমাণীকরণ প্রক্রিয়া সেট আপ করতে হবে। এই উদাহরণে, Palo Alto নেটওয়ার্ক ওয়েব ইন্টারফেসের মাধ্যমে অ্যাক্টিভ ডিরেক্টরি ডোমেন কন্ট্রোলারে প্রমাণীকরণ ঘটবে।

চিত্র 10 - LDAP প্রোফাইল

প্রমাণীকরণ কাজ করার জন্য, আপনাকে কনফিগার করতে হবে LDAP প্রোফাইল и প্রমাণীকরণ প্রোফাইল। বিভাগে ডিভাইস -> সার্ভার প্রোফাইল -> LDAP (চিত্র 10) আপনাকে ডোমেন কন্ট্রোলারের আইপি ঠিকানা এবং পোর্ট, LDAP প্রকার এবং গ্রুপগুলিতে অন্তর্ভুক্ত ব্যবহারকারী অ্যাকাউন্ট উল্লেখ করতে হবে সার্ভার অপারেটর, ইভেন্ট লগ রিডার, COM ব্যবহারকারীদের বিতরণ করা হয়েছে. তারপর বিভাগে ডিভাইস -> প্রমাণীকরণ প্রোফাইল একটি প্রমাণীকরণ প্রোফাইল তৈরি করুন (চিত্র 11), পূর্বে তৈরি করা চিহ্নিত করুন LDAP প্রোফাইল এবং উন্নত ট্যাবে, ব্যবহারকারীদের গ্রুপ নির্দিষ্ট করুন (চিত্র 12) যাদের দূরবর্তী অ্যাক্সেসের অনুমতি দেওয়া হয়েছে। প্রোফাইলে প্যারামিটারটি নোট করা গুরুত্বপূর্ণ ব্যবহারকারী ডোমেইন, অন্যথায় গ্রুপ-ভিত্তিক অনুমোদন কাজ করবে না। ক্ষেত্রটিতে অবশ্যই NetBIOS ডোমেন নাম থাকতে হবে।

চিত্র 11 - প্রমাণীকরণ প্রোফাইল

চিত্র 12 - একটি AD গ্রুপ নির্বাচন করা

পরবর্তী ধাপ হল সেটিং ডিভাইস -> ব্যবহারকারী সনাক্তকরণ. এখানে আপনাকে ডোমেন কন্ট্রোলারের আইপি ঠিকানা, সংযোগের শংসাপত্র এবং সেটিংস কনফিগার করতে হবে নিরাপত্তা লগ সক্রিয় করুন, সেশন সক্রিয় করুন, প্রোবিং সক্ষম করুন (চিত্র 13)। অধ্যায়ে গ্রুপ ম্যাপিং (চিত্র 14) আপনাকে LDAP-এ অবজেক্ট শনাক্ত করার পরামিতি এবং অনুমোদনের জন্য ব্যবহার করা গ্রুপের তালিকা নোট করতে হবে। প্রমাণীকরণ প্রোফাইলের মতো, এখানে আপনাকে ব্যবহারকারী ডোমেন প্যারামিটার সেট করতে হবে।

চিত্র 13 - ব্যবহারকারীর ম্যাপিং পরামিতি

চিত্র 14 - গ্রুপ ম্যাপিং পরামিতি

এই ধাপের শেষ ধাপ হল একটি VPN জোন এবং এই জোনের জন্য একটি ইন্টারফেস তৈরি করা। ইন্টারফেসে, আপনাকে প্যারামিটার সক্ষম করতে হবে ব্যবহারকারী সনাক্তকরণ সক্ষম করুন (অঙ্কুর। 15)।

চিত্র 15 - একটি VPN জোন সেট আপ করা

5. একটি SSL VPN সেট আপ করুন৷

SSL VPN সংযোগ করার আগে, দূরবর্তী ব্যবহারকারীকে অবশ্যই ওয়েব পোর্টালে যেতে হবে, প্রমাণীকরণ করতে হবে এবং গ্লোবাল প্রোটেক্ট ক্লায়েন্ট ডাউনলোড করতে হবে। এর পরে, এই ক্লায়েন্ট শংসাপত্রের জন্য জিজ্ঞাসা করবে এবং কর্পোরেট নেটওয়ার্কের সাথে সংযোগ করবে৷ ওয়েব পোর্টালটি https মোডে কাজ করে এবং সেই অনুযায়ী, আপনাকে এটির জন্য একটি শংসাপত্র ইনস্টল করতে হবে। সম্ভব হলে একটি পাবলিক সার্টিফিকেট ব্যবহার করুন. তারপর ব্যবহারকারী সাইটে শংসাপত্রের অবৈধতা সম্পর্কে একটি সতর্কতা পাবেন না। যদি একটি পাবলিক সার্টিফিকেট ব্যবহার করা সম্ভব না হয়, তাহলে আপনাকে নিজের ইস্যু করতে হবে, যা https এর জন্য ওয়েব পেজে ব্যবহার করা হবে। এটি স্ব-স্বাক্ষরিত বা স্থানীয় CA-এর মাধ্যমে জারি করা যেতে পারে। রিমোট কম্পিউটারের বিশ্বস্ত রুট সেন্টারের তালিকায় অবশ্যই একটি রুট বা স্ব-স্বাক্ষরিত শংসাপত্র থাকতে হবে যাতে ব্যবহারকারী ওয়েব পোর্টালের সাথে সংযোগ করার সময় কোনও ত্রুটি না পান। এই উদাহরণটি একটি অ্যাক্টিভ ডিরেক্টরি সার্টিফিকেট পরিষেবা CA এর মাধ্যমে জারি করা একটি শংসাপত্র ব্যবহার করবে।

একটি শংসাপত্র ইস্যু করতে, আপনাকে বিভাগে একটি শংসাপত্রের অনুরোধ তৈরি করতে হবে৷ ডিভাইস -> সার্টিফিকেট ম্যানেজমেন্ট -> সার্টিফিকেট -> জেনারেট করুন. অনুরোধে, সার্টিফিকেটের নাম এবং ওয়েব পোর্টালের IP ঠিকানা বা FQDN উল্লেখ করুন (চিত্র 16)। অনুরোধ তৈরি করার পরে, ডাউনলোড করুন .csr ফাইল করুন এবং AD CS ওয়েব এনরোলমেন্ট ওয়েব ফর্মের সার্টিফিকেট অনুরোধ ক্ষেত্রে এর বিষয়বস্তু অনুলিপি করুন। শংসাপত্র কর্তৃপক্ষের সেটিংয়ের উপর নির্ভর করে, শংসাপত্রের অনুরোধটি অবশ্যই অনুমোদিত হতে হবে এবং জারি করা শংসাপত্রটি বিন্যাসে ডাউনলোড করতে হবে Base64 এনকোডেড সার্টিফিকেট. উপরন্তু, আপনাকে সার্টিফিকেশন কর্তৃপক্ষের রুট সার্টিফিকেট ডাউনলোড করতে হবে। তারপরে আপনাকে ফায়ারওয়ালে উভয় শংসাপত্র আমদানি করতে হবে। ওয়েব পোর্টালের জন্য একটি শংসাপত্র আমদানি করার সময়, মুলতুবি থাকা অবস্থায় অনুরোধটি নির্বাচন করুন এবং আমদানিতে ক্লিক করুন৷ সার্টিফিকেটের নাম অনুরোধে আগে উল্লেখ করা নামের সাথে মিলতে হবে। আপনি ইচ্ছামত রুট সার্টিফিকেটের নাম উল্লেখ করতে পারেন। শংসাপত্র আমদানি করার পরে, আপনাকে তৈরি করতে হবে SSL/TLS পরিষেবা প্রোফাইল অধ্যায় ডিভাইস -> সার্টিফিকেট ব্যবস্থাপনা. প্রোফাইলে পূর্বে আমদানি করা শংসাপত্রটি উল্লেখ করুন।

চিত্র 16 - একটি শংসাপত্রের জন্য অনুরোধ

পরবর্তী ধাপ অবজেক্ট সেট আপ করা হয় গ্লোবাল প্রোটেক্ট গেটওয়ে и গ্লোবাল প্রোটেক্ট পোর্টাল অধ্যায় নেটওয়ার্ক -> গ্লোবাল প্রোটেক্ট... সেটিংসে গ্লোবাল প্রোটেক্ট গেটওয়ে ফায়ারওয়ালের বাহ্যিক আইপি ঠিকানা উল্লেখ করুন, পাশাপাশি পূর্বে তৈরি করা হয়েছে SSL প্রোফাইল, প্রমাণীকরণ প্রোফাইল, টানেল ইন্টারফেস, এবং ক্লায়েন্ট আইপি সেটিংস। আপনাকে IP ঠিকানাগুলির একটি পুল নির্দিষ্ট করতে হবে যেখান থেকে ঠিকানাটি ক্লায়েন্টকে বরাদ্দ করা হবে এবং অ্যাক্সেস রুট হল সাবনেট যেখানে ক্লায়েন্টের একটি রুট থাকবে। যদি কাজটি ফায়ারওয়ালের মাধ্যমে সমস্ত ব্যবহারকারীর ট্র্যাফিক মোড়ানো হয়, তবে আপনাকে সাবনেট 0.0.0.0/0 (চিত্র 17) নির্দিষ্ট করতে হবে।

চিত্র 17 - IP ঠিকানা এবং রুটের একটি পুল সেট আপ করা হচ্ছে

তারপর আপনাকে সেট আপ করতে হবে গ্লোবাল প্রোটেক্ট পোর্টাল. ফায়ারওয়ালের আইপি ঠিকানা উল্লেখ করুন, SSL প্রোফাইল и প্রমাণীকরণ প্রোফাইল এবং বহিরাগত ফায়ারওয়াল আইপি ঠিকানাগুলির একটি তালিকা যা ক্লায়েন্ট সংযোগ করবে। যদি বেশ কয়েকটি ফায়ারওয়াল থাকে, তাহলে আপনি প্রতিটির জন্য একটি অগ্রাধিকার সেট করতে পারেন, সেই অনুযায়ী ব্যবহারকারীরা সংযোগ করার জন্য একটি ফায়ারওয়াল বেছে নেবে।

অধ্যায় ডিভাইস -> GlobalProtect ক্লায়েন্ট আপনাকে Palo Alto নেটওয়ার্ক সার্ভার থেকে VPN ক্লায়েন্টের ডিস্ট্রিবিউশন কিট ডাউনলোড করতে হবে এবং এটি সক্রিয় করতে হবে। সংযোগ করতে, ব্যবহারকারীকে পোর্টাল ওয়েব পৃষ্ঠায় যেতে হবে, যেখানে তাকে ডাউনলোড করতে বলা হবে গ্লোবাল প্রোটেক্ট ক্লায়েন্ট. ডাউনলোড এবং ইনস্টল করার পরে, আপনি আপনার শংসাপত্রগুলি প্রবেশ করতে এবং SSL VPN এর মাধ্যমে কর্পোরেট নেটওয়ার্কের সাথে সংযোগ করতে সক্ষম হবেন৷

উপসংহার

এটি পালো অল্টো নেটওয়ার্ক সেটআপ অংশটি সম্পূর্ণ করে। আমরা আশা করি তথ্যটি দরকারী ছিল এবং পাঠক Palo Alto নেটওয়ার্কে ব্যবহৃত প্রযুক্তি সম্পর্কে ধারণা পেয়েছেন। আপনার যদি সেট আপ সম্পর্কে প্রশ্ন থাকে এবং ভবিষ্যতের নিবন্ধগুলির বিষয়ে শুভেচ্ছা থাকে - মন্তব্যগুলিতে সেগুলি লিখুন, আমরা উত্তর দিতে পেরে খুশি হব।

উত্স: www.habr.com