Přes všechny výhody firewallů Palo Alto Networks není v českém internetu příliš materiálů o nastavení těchto zařízení, ani textů popisujících zkušenosti s jejich nasazením. Rozhodli jsme se shrnout materiály, které jsme nashromáždili během naší práce s vybavením tohoto dodavatele, a povídat o zvláštnostech, se kterými jsme se setkali při realizaci různých projektů.
Pro seznámení s Palo Alto Networks se v tomto článku podíváme na nastavení potřebná k řešení jednoho z nejběžnějších úkolů firewallu — SSL VPN pro vzdálený přístup. Také probereme pomocné funkce pro obecné nastavení firewallu, identifikaci uživatelů, aplikací a bezpečnostních politik. Pokud témata čtenáře zaujmou, v budoucnu vydáme materiály s rozborem Site-to-Site, VPN, dynamického směrování a centralizovaného řízení pomocí Panorama.
Firewally Palo Alto Networks využívají řadu inovativních technologií, včetně App-ID, User-ID a Content-ID. Použití této funkčnosti umožňuje zajistit vysokou úroveň bezpečnosti. Například pomocí App-ID je možné identifikovat provoz aplikací na základě signatur, dekódování a heuristiky, bez ohledu na použitý port a protokol, včetně uvnitř SSL tunelu. User-ID umožňuje identifikaci uživatelů sítě prostřednictvím integrace s LDAP. Content-ID dává možnost skenovat provoz a identifikovat přenášené soubory a jejich obsah. Mezi další funkce firewallů lze zařadit ochranu proti útokům, ochranu proti zranitelnostem a útokům DDoS, integrovaný anti-spyware, URL filtraci, clustering a centralizované řízení.
Pro demonstraci budeme používat izolovaný testovací stroj, jehož konfigurace je identická s reálnou, s výjimkou názvů zařízení, názvu domény AD a IP adres. Ve skutečnosti je to složitější — může být mnoho poboček. Na hranicích centrálních lokalit bude v takovém případě místo jednoho firewallu nainstalován cluster, a může být také vyžadováno dynamické směrování.
Na testovacím zařízení se používá PAN-OS 7.1.9. Jako typickou konfiguraci zvažujeme síť s firewall Palo Alto Networks na hranici. Firewall poskytuje vzdálený přístup SSL VPN do centrály. Jako databáze uživatelů bude použit doménový Active Directory (obrázek 1).
Obrázek 1 – Strukturní schéma sítě
Etapy nastavení:
- Přednastavení zařízení. Zadání názvu, IP adres řízení, statických tras, účtů administrátorů, profilů řízení
- Instalace licencí, nastavení a instalace aktualizací
- Nastavení bezpečnostních zón, síťových rozhraní, politiky provozu, překlady adres
- Nastavení profilu autentizace LDAP a funkce User Identification
- Nastavení SSL VPN
1. Přednastavení
Hlavním nástrojem pro nastavení firewallu Palo Alto Networks je webové rozhraní, je možné také řízení přes CLI. Ve výchozím nastavení má management-interface nastavenou IP adresu 192.168.1.1/24, login: admin, heslo: admin.
Adresu lze změnit buď připojením k webovému rozhraní ze stejné sítě, nebo pomocí příkazu set deviceconfig system ip-address netmask. Ten se provádí v konfiguračním režimu. Pro přepnutí do konfiguračního režimu se používá příkaz konfigurovat. Všechna změny na firewallu se provádějí pouze po potvrzení nastavení příkazem commit, jak v režimu příkazového řádku, tak v webovém rozhraní.
Pro změnu nastavení v webovém rozhraní se používá sekce Device -> General Settings a Device -> Management Interface Settings. Název, bannery, časová pásma a další nastavení lze konfigurovat v sekci General Settings (obr. 2).
Obrázek 2 – Parametry managementového rozhraní
Pokud se používá virtuální firewall v prostředí ESXi, je v sekci General Settings třeba povolit použití MAC adresy přidělené hypervizorem, nebo nastavit na hypervizoru MAC adresy přidělené na rozhraních firewallu, nebo změnit nastavení virtuálních přepínačů tak, aby povolily změny MAC adres. Jinak provoz neprojde.
Management interface se nastavuje samostatně a neobjevuje se v seznamu síťových rozhraní. V sekci Management Interface Settings se uvádí výchozí brána pro management interface. Další statické trasy se nastavují v sekci virtuálních routerů, o tom bude napsáno dále.
Pro povolení přístupu k zařízení přes jiné rozhraní je nutné vytvořit profil správy Profil správy v sekci Síť -> Síťové profily -> Správa rozhraní a přiřadit ho k odpovídajícímu rozhraní.
Dále je třeba nastavit DNS a NTP v sekci Zařízení -> Služby pro získání aktualizací a správné zobrazení času (obr. 3). Ve výchozím nastavení veškerý provoz generovaný firewallem používá jako IP adresu zdroje IP adresu správy. Jinému rozhraní lze přiřadit každou konkrétní službu v sekci Konfigurace směrování služeb.
Obrázek 3 – Parametry služeb DNS, NTP a systémových tras
2. Instalace licencí, nastavení a instalace aktualizací
Pro plnou funkčnost všech funkcí firewalla je nutné nainstalovat licenci. Je možné použít zkušební licenci, kterou lze získat od partnerů Palo Alto Networks. Její platnost je 30 dní. Licence se aktivuje buď prostřednictvím souboru, nebo pomocí Auth-Codu. Licence se nastavují v sekci Zařízení -> Licence (obr. 4).
Po instalaci licence je potřeba nastavit instalaci aktualizací v sekci Zařízení -> Dynamické aktualizace.
V sekci Zařízení -> Software lze stáhnout a nainstalovat nové verze PAN-OS.
Obrázek 4 – Ovládací panel licencí
3. Nastavení bezpečnostních zón, síťových rozhraní, politiky provozu, překlad adres
Firewally Palo Alto Networks používají logiku zón při nastavování síťových pravidel. Síťová rozhraní jsou přiřazena konkrétní zóně, která se používá v pravidlech provozu. Tento přístup umožňuje při budoucích změnách nastavení rozhraní neměnit pravidla provozu, ale místo toho přeřadit požadovaná rozhraní do odpovídajících zón. Ve výchozím nastavení je provoz uvnitř zóny povolen, provoz mezi zónami je zakázán, což zajišťují přednastavená pravidla intrazone-default a interzone-default.
Obrázek 5 – Bezpečnostní zóny
V tomto příkladu je rozhraní v interní síti přiřazeno k zóně interní, zatímco rozhraní směřující na internet je přiřazeno k zóně externí. Pro SSL VPN byl vytvořen tunelový interface, který je přiřazen do zóny vpn (obr. 5).
Síťová rozhraní firewallu Palo Alto Networks mohou pracovat v pěti různých režimech:
- Tap – používá se pro shromažďování provozu za účelem monitorování a analýzy
- HA – používá se pro provoz clustera
- Virtuální drát – V tomto režimu Palo Alto Networks spojuje dvě rozhraní a transparentně propouští mezi nimi provoz, aniž by měnil MAC a IP adresy
- Layer2 – režim přepínače
- Layer3 – režim routeru
Obrázek 6 – Nastavení režimu práce rozhraní
V tomto příkladu bude použit režim Layer3 (viz obr. 6). V parametrech síťového rozhraní je uvedena IP adresa, pracovní režim a odpovídající bezpečnostní zóna. Kromě pracovní režimu rozhraní je třeba jej přiřadit k virtuálnímu routeru Virtual Router, což je ekvivalent instance VRF v Palo Alto Networks. Virtuální routery jsou izolovány jeden od druhého a mají své tabulky směrování a nastavení síťových protokolů.
V nastavení virtuálního routeru se uvádějí statické směry a nastavení směrovacích protokolů. V tomto příkladu byl vytvořen pouze výchozí směrovací bod pro přístup do externích sítí (viz obr. 7).
Obrázek 7 – Nastavení virtuálního routeru
Dalším krokem nastavení jsou politiky provozu, sekce Policies -> Security. Příklad nastavení je zobrazen na obrázku 8. Logika práce pravidel je stejná jako u všech firewallů. Pravidla se kontrolují shora dolů, až do prvního shody. Stručný popis pravidel:
1. SSL VPN Access to Web Portal. Umožňuje přístup k webovému portálu pro autentizaci vzdálených připojení
2. VPN traffic – povolení provozu mezi vzdálenými připojeními a centrálním kancelářem
3. Basic Internet – povolení aplikací dns, ping, traceroute, ntp. Firewall povoluje aplikace na základě signatur, dekódování a heuristiky, nikoliv na základě čísel portů a protokolů, proto je v části Service uvedeno application-default. Port/protokol podle výchozího nastavení pro tuto aplikaci
4. Web Access – povolení přístupu na internet prostřednictvím protokolů HTTP a HTTPS bez kontroly aplikací
5,6. Výchozí pravidla pro ostatní provoz.
Obrázek 8 — Příklad nastavení síťových pravidel
Pro nastavení NAT se používá sekce Policies -> NAT. Příklad nastavení NAT je zobrazen na obrázku 9.
Obrázek 9 – Příklad nastavení NAT
Pro veškerý provoz z interní do externí může být změněna adresa zdroje na externí IP adresu firewallu a použít dynamická adresa portu (PAT).
4. Nastavení profilu autentizace LDAP a funkce User Identification
Před připojením uživatelů přes SSL-VPN je nutné nastavit mechanismus autentizace. V tomto příkladu bude autentizace probíhat na řadiči domény Active Directory prostřednictvím webového rozhraní Palo Alto Networks.
Obrázek 10 – LDAP profil
Aby autentizace fungovala, je třeba nastavit LDAP Profil a Profil autentizace. V části Zařízení -> Serverové profily -> LDAP (obráz. 10) je nutné uvést IP adresu a port řadiče domény, typ LDAP a uživatelský účet, který patří do skupin Server Operators, Event Log Readers, Distributed COM Users. Dále v sekci Zařízení -> Profil autentizace vytvoříme profil autentizace (obráz. 11), označíme dříve vytvořený LDAP Profil a v záložce Advanced uvedeme skupinu uživatelů (obráz. 12), kterým je povolen vzdálený přístup. Je důležité uvést v profilu parametr Uživatelská doména, jinak autorizace na základě skupin nebude fungovat. V poli musí být uvedeno NetBIOS jméno domény.
Obrázek 11 – Profil autentizace
Obrázek 12 – Výběr skupiny AD
Dalším krokem je nastavení Zařízení -> Identifikace uživatelů. Zde je třeba uvést IP adresu řadiče domény, přihlašovací údaje pro připojení a také nastavit parametry Povolit bezpečnostní protokol, Povolit relaci, Povolit průzkum (obráz. 13). V sekci Mapování skupin (obráz. 14) je třeba označit parametry identifikace objektů v LDAP a seznam skupin, které budou použity pro autorizaci. Také jako v profilu autentizace je třeba zde nastavit parametr Uživatelská doména.
Obrázek 13 – Parametry mapování uživatelů
Obrázek 14 – Parametry mapování skupin
Posledním krokem v této fázi bude vytvoření VPN zóny a rozhraní pro tuto zónu. Na rozhraní je třeba povolit parametr Povolit identifikaci uživatelů (obráz. 15).
Obrázek 15 – Nastavení VPN zóny
5. Nastavení SSL VPN
Před připojením SSL VPN se musí vzdálený uživatel přihlásit na webový portál, projít autentifikací a stáhnout klienta Global Protect. Tento klient poté požádá o přihlašovací údaje a připojí se k podnikovému síťovému prostředí. Webový portál pracuje v režimu https, a proto je nutné nainstalovat certifikát. Použijte veřejný certifikát, pokud je to možné. V takovém případě uživatel nedostane varování o neplatnosti certifikátu na stránkách. Pokud není možné použít veřejný certifikát, je třeba vydat vlastní, který bude použit na webové stránce pro https. Může být buď samopodepsaný, nebo vydaný prostřednictvím místního certifikačního úřadu. Vzdálený počítač by měl mít kořenový nebo samopodepsaný certifikát v seznamu důvěryhodných kořenových certifikačních autorit, aby se uživateli nezobrazovala chyba při připojování na webový portál. V tomto příkladu bude použit certifikát vydaný prostřednictvím certifikačních služeb Active Directory.
Pro vydání certifikátu je třeba vytvořit žádost o certifikát v sekci Zařízení -> Správa certifikátů -> Certifikáty -> Vytvořit. V žádosti uvedeme název certifikátu a IP adresu nebo FQDN webového portálu (obr. 16). Po vygenerování žádosti stáhněte .csr soubor a zkopírujte jeho obsah do pole žádosti o certifikát na webovém formuláři AD CS Web Enrollment. V závislosti na nastavení certifikačního úřadu je třeba žádost o certifikát schválit a stáhnout vydaný certifikát ve formátu certifikát kódovaný ve formátu Base64. Dále je třeba stáhnout kořenový certifikát certifikačního úřadu. Poté je nutné importovat oba certifikáty do firewallu. Při importu certifikátu pro webový portál je třeba vybrat žádost ve stavu pending a kliknout na import. Název certifikátu by měl odpovídat názvu uvedenému dříve v žádosti. Název kořenového certifikátu lze uvést libovolně. Po importu certifikátu je třeba vytvořit profil služby SSL/TLS v sekci Zařízení -> Správa certifikátů. V profilu uvedeme dříve importovaný certifikát.
Obrázek 16 – Žádost o certifikát
Dalším krokem je konfigurace objektů Globální Protect Gateway a Globální Protect Portál v sekci Síť -> Globální Protect. V nastaveních Globální Protect Gateway uvedeme externí IP adresu firewallu a také dříve vytvořené profil SSL, Profil autentizace, tunelové rozhraní a IP nastavení klienta. Je nutné specifikovat IP adresní rozsah, ze kterého bude adresa přiřazena klientovi, a Access Route – to jsou podsítě, k nimž bude mít klient přístup. Pokud je cílem směrovat veškerý provoz uživatele přes firewall, je třeba uvést podsíť 0.0.0.0/0 (obr. 17).
Obrázek 17 – Nastavení IP adresního poolu a tras
Poté je nutné nastavit Globální Protect Portál. Uvádíme IP adresu firewallu, profil SSL a Profil autentizace a seznam externích IP adres firewallů, ke kterým se klient připojí. Pokud je více firewallů, je možné pro každý nastavit prioritu, podle níž si uživatelé vyberou firewall pro připojení.
V sekci Zařízení -> GlobalProtect Client je nutné stáhnout instalační balíček VPN klienta ze serverů Palo Alto Networks a aktivovat ho. Pro připojení se uživatel musí přihlásit na webovou stránku portálu, kde mu bude nabídnuto stáhnout GlobalProtect Client. Po stažení a instalaci bude moci zadat své přihlašovací údaje a připojit se k firemní síti přes SSL VPN.
Závěr
Tímto je část nastavení Palo Alto Networks dokončena. Doufáme, že informace byly užitečné a čtenář získal představu o technologiích používaných v Palo Alto Networks. Pokud máte otázky k nastavení nebo přání k tématům budoucích článků – pište je do komentářů, rádi odpovíme.
Zdroj: habr.com
