På trods af de mange fordele ved Palo Alto Networks firewalls er der ikke meget materiale tilgængeligt online om konfigurationen af disse enheder samt beskrivelser af erfaringerne med deres implementering. Vi har besluttet at opsummere det materiale, vi har indsamlet gennem vores arbejde med denne leverandørs udstyr, og fortælle om de særlige udfordringer, vi har mødt i forbindelse med gennemførelsen af forskellige projekter.
I denne artikel vil vi se på de indstillinger, der er nødvendige for at løse en af de mest almindelige opgaver inden for netværkssikkerhed - SSL VPN til fjernadgang. Vi vil også diskutere supplerende funktioner til den generelle konfiguration af firewallen, identifikation af brugere, applikationer og sikkerhedspolitikker. Hvis emnet interesserer læserne, vil vi senere publicere materialer, der dækker Site-to-Site. VPN, dynamisk routing og centraliseret administration ved hjælp af Panorama.
Palo Alto Networks firewalls anvender en række innovative teknologier, herunder App-ID, User-ID og Content-ID. Anvendelse af denne funktionalitet sikrer et højt sikkerhedsniveau. For eksempel gør App-ID det muligt at identificere applikationstrafik baseret på signaturer, dekodning og heuristik, uanset hvilken port og protokol der anvendes, også inden for SSL-tunnelen. User-ID muliggør identifikation af netværksbrugere gennem integration med LDAP. Content-ID giver mulighed for at scanne trafikken og identificere overførte filer og deres indhold. Blandt andre funktioner i firewalls kan man fremhæve beskyttelse mod indtrængen, beskyttelse mod sårbarheder og DoS-angreb, indbygget antispyware, URL-filtering, clustering og centraliseret administration.
Til demonstration vil vi bruge et isoleret testmiljø med en konfiguration, der er identisk med en virkelig opsætning, bortset fra enhedsnavne, AD-domænenavne og IP-adresser. I virkeligheden er alt mere komplekst - der kan være mange filialer. På grænserne af de centrale lokationer vil der i dette tilfælde blive installeret et cluster i stedet for en enkelt firewall, og der kan også være behov for dynamisk routing.
I testmiljøet anvendes PAN-OS 7.1.9. Som en typisk konfiguration overvejer vi et netværk med en Palo Alto Networks firewall ved grænsen. Firewallen giver fjernadgang via SSL VPN til hovedkontoret. Active Directory-domainet vil blive brugt som brugerbase (figur 1).
Figur 1 – Strukturelt diagram over netværket
Opsætningsfaser:
- Forudkonfiguration af enheden. Angivelse af navn, IP-adresser styring, statiske ruter, administratoradgangskonti, administrationsprofiler
- Installation af licenser, konfiguration og installation af opdateringer
- Konfiguration af sikkerhedszoner, netværksinterface, trafikpolitikker, adresseoversættelse
- Konfiguration af LDAP-authentifikationsprofil og User Identification-funktionen
- Konfiguration af SSL VPN
1. Forudkonfiguration
Det primære værktøj til konfiguration af Palo Alto Networks firewallen er webinterface, men det er også muligt at administrere via CLI. Som standard har management-interfacet IP-adresse 192.168.1.1/24, login: admin, password: admin.
Adressen kan ændres enten ved at forbinde til webinterfacet fra det samme netværk, eller ved hjælp af kommandoen set deviceconfig system ip-address netmask. Den udføres i konfigurationsmodus. For at skifte til konfigurationsmodus bruges kommandoen configure. Alle ændringer på firewallen sker kun efter bekræftelse af indstillingerne med kommandoen commit, både i kommandolinjemodus og i webinterfacet.
For at ændre indstillingerne i webinterfacet bruges sektionen Device -> General Settings og Device -> Management Interface Settings. Navn, bannere, tidszone og andre indstillinger kan angives i sektionen General Settings (figur 2).
Figur 2 – Indstillinger for management interface
Hvis der anvendes en virtuel firewall i et ESXi-miljø, skal brugen af MAC-adressen tildelt hypervisoren aktiveres i sektionen General Settings, eller MAC-adresserne, der er angivet på firewalls interface, skal konfigureres på hypervisoren, eller indstillingerne for virtuelle switcher skal ændres til at tillade ændringer af MAC-adresser. Ellers vil trafikken ikke passere.
Management-interfacet konfigureres separat og vises ikke i listen over netværksinterfaces. I sektionen Management Interface Settings angives standard gateway for management-interfacet. Andre statiske ruter konfigureres i sektionen for virtuelle routere, som vil blive beskrevet senere.
For access to the device through other interfaces, it is necessary to create a management profile. Administrationsprofil i sektionen Network -> Network Profiles -> Interface Mgmt and assign it to the corresponding interface.
Next, it is necessary to configure DNS and NTP in the section Device -> Services to receive updates and correctly display the time (see Fig. 3). By default, all traffic generated by the firewall uses the management interface IP address as the source IP address. Another interface can be assigned for each specific service in the section Service Route Configuration.
Figure 3 – DNS, NTP, and system route service settings
2. License installation, settings, and update installation
For the full operation of all firewall functions, a license must be installed. A trial license can be used by requesting it from Palo Alto Networks partners. Its validity period is 30 days. The license is activated either via a file or via Auth-Code. Licenses are configured in the section Device -> Licenses (see Fig. 4).
After installing the license, it is necessary to configure the update installation in the section Device -> Dynamic Updates.
I sektionen Device -> Software from which new versions of PAN-OS can be downloaded and installed.
Figure 4 – License management panel
3. Configuring security zones, network interfaces, traffic policies, address translation
Palo Alto Networks firewalls apply zone logic when configuring network rules. Network interfaces are assigned to a specific zone, which is used in traffic rules. This approach allows for future configuration changes to be made without altering traffic rules, but instead reassigning the required interfaces to the corresponding zones. By default, traffic within a zone is permitted, while traffic between zones is denied, governed by the pre-installed rules intrazone-default og interzone-default.
Figure 5 – Security zones
In this example, the interface in the internal network is assigned to the zone internal, while the internet-facing interface is assigned to the zone external. An SSL VPN tunnel interface is created, assigned to the zone vpn (see Fig. 5).
The network interfaces of the Palo Alto Networks firewall can operate in five different modes:
- Tap – used for traffic capture for monitoring and analysis
- HA – used for cluster operation
- Virtual Wire – i denne tilstand kombinerer Palo Alto Networks to interfaces og tillader, at trafik passerer gennemsigtigt mellem dem uden at ændre MAC- og IP-adresser
- Lag2 – switch-tilstand
- Lag3 – router-tilstand
Figur 6 – Indstilling af interface-tilstand
I dette eksempel vil Lag3-tilstand blive brugt (se fig. 6). I parametrene for netværksinterfacet angives IP-adresse, driftsmode og tilsvarende sikkerhedszoner. Udover driftsmode for interfacet skal det tildeles en virtuel router, Virtual Router, som er analog med et VRF-instans i Palo Alto Networks. De virtuelle routere er isolerede fra hinanden og har deres egne routing-tabeller og netværksprotokolindstillinger.
I indstillingerne for den virtuelle router angives statiske ruter og indstillinger for routingprotokoller. I dette eksempel er der kun oprettet en standardrute til adgang til eksterne netværk (se fig. 7).
Figur 7 – Indstilling af virtuel router
Næste trin i opsætningen – trafikpolitikker, sektion Policies -> Security. Eksemplet på opsætningen er vist i figur 8. Logikken for reglerne er den samme som for alle firewalls. Reglerne kontrolleres fra top til bund, indtil der er et match. Kort beskrivelse af reglerne:
1. SSL VPN Access to Web Portal. Tillader adgang til webportalen for autentificering af eksterne forbindelser
2. VPN-trafik – tillader trafik mellem eksterne forbindelser og hovedkontoret
3. Basic Internet – tillader applikationer dns, ping, traceroute, ntp. Firewallen tillader applikationer baseret på signaturer, dekodering og heuristik, og ikke på portnumre og protokoller, så det er angivet som application-default i sektionen Service. Port/protokol som standard for denne applikation
4. Web Access – tillader adgang til internettet via protokollerne HTTP og HTTPS uden applikationskontrol
5,6. Standardregler for resten af trafikken.
Figur 8 — Eksempel på opsætning af netværksregler
Til opsætning af NAT bruges sektionen Policies -> NAT. Eksemplet på NAT-opsætningen er vist i figur 9.
Figur 9 – Eksempel på NAT-opsætning
For al trafik fra internal til external kan kildeadressen ændres til den eksterne IP-adresse på firewallen, og der kan anvendes dynamisk portadresse (PAT).
4. Opsætning af LDAP-godkendelsesprofil og User Identification-funktion
Før brugere kan tilsluttes via SSL-VPN, er det nødvendigt at konfigurere autentificeringsmekanismen. I dette eksempel vil autentificeringen finde sted på Active Directory-domænecontrolleren via Palo Alto Networks' webgrænseflade.
Figur 10 – LDAP-profil
For at autentificeringen fungerer, skal du konfigurere LDAP-profil og Authenticationsprofil. I sektionen Enhed -> Serverprofiler -> LDAP (se fig. 10) skal du angive IP-adressen og porten for domænecontrolleren, LDAP-typen og brugerkontoen, der er medlem af grupperne Serveroperatører, Hændelsesloglæserne, Distribuerede COM-brugere. Dernæst i sektionen Enhed -> Authenticationsprofil opretter vi en autentifikationsprofil (se fig. 11) og markerer den tidligere oprettede LDAP-profil og under fanen Avanceret angiver vi brugergruppen (se fig. 12), som har tilladelse til fjernadgang. Det er vigtigt at angive parameteren Bruger Domæne, ellers vil gruppeautoriseringen ikke fungere. Feltet skal indeholde NetBIOS-navnet for domænet.
Figur 11 – Autentifikationsprofil
Figur 12 – Valg af AD-gruppe
Næste trin er konfigurationen af Enhed -> Brugeridentifikation. Her skal IP-adressen for domænecontrolleren, legitimationsoplysningerne til tilslutning samt konfigurationsparametrene angives Aktivér sikkerhedslog, Aktivér session, Aktivér probing (se fig. 13). I sektionen Gruppekortlægning (se fig. 14) skal du markere parametrene for identifikation af objekter i LDAP og listen over grupper, der vil blive brugt til autorisering. Ligesom i Authenticationsprofilen skal parameteren Bruger Domæne angives her.
Figur 13 – Parametre for brugerindlæsning
Figur 14 – Parametre for gruppeindlæsning
Det sidste skridt i denne fase vil være oprettelsen af en VPN-zone og et interface til denne zone. På interfacet skal parameteren Aktiver brugeridentifikation (se fig. 15) aktiveres.
Figur 15 – Konfiguration af VPN-zone
5. Konfiguration af SSL VPN
Før du opretter forbindelse til SSL VPN, skal den fjerntliggende bruger logge ind på webportalen, gennemføre autentificering og downloade Global Protect-klienten. Derefter vil denne klient anmode om legitimationsoplysninger og forbinde til det virksomhedsnets. Webportalen fungerer i https-tilstand, og det er derfor nødvendigt at installere et certifikat til den. Brug et offentligt certifikat, hvis det er muligt. På den måde vil brugeren ikke få en advarsel om, at certifikatet på webstedet er ugyldigt. Hvis det ikke er muligt at bruge et offentligt certifikat, skal du udstede dit eget, som vil blive anvendt på websidens https. Det kan være selvsigneret eller udstedt via et lokalt certifikatcenter. Den fjerntliggende computer skal have rod- eller selvsignerede certifikater i listen over betroede rodcentre for at undgå fejl ved tilslutning til webportalen. I dette eksempel vil et certifikat, der er udstedt via Active Directory Certificate Services, blive brugt.
For at udstede et certifikat skal du oprette en certifikatanmodning i afsnittet Device -> Certificate Management -> Certificates -> Generate. I anmodningen angiver vi certifikatnavnet og IP-adressen eller FQDN for webportalen (figur 16). Efter generering af anmodningen downloader vi .csr filen og kopierer dens indhold til feltet for certifikatanmodningen i AD CS Web Enrollment-webformularen. Afhængig af indstillingerne for certifikatcentret skal anmodningen om certifikat godkendes, og det udstedte certifikat skal downloades i formatet Base64 Encoded Certificate. Derudover skal du downloade rodcertifikatet fra certifikatcentret. Derefter skal begge certifikater importeres til firewall'en. Ved import af certifikatet til webportalen skal du vælge anmodningen i status pending og klikke på import. Certifikatnavnet skal matche navnet, der tidligere blev angivet i anmodningen. Navnet på rodcertifikatet kan angives vilkårligt. Efter import af certifikatet skal du oprette SSL/TLS Service Profile i sektionen Device -> Certificate Management. I profilen angiver vi det tidligere importerede certifikat.
Figur 16 – Anmodning om certifikat
Næste trin er at konfigurere objekterne Global Protect Gateway og Global Protect Portal i sektionen Network -> Global Protect. I indstillingerne Global Protect Gateway angiver vi den eksterne IP-adresse på firewallen samt de tidligere oprettede SSL Profile, Authenticationsprofil, tunnel interface and client IP settings. You need to specify a pool of IP addresses from which an address will be assigned to the client, and the Access Route – these are the subnets to which the client will route. If the task is to route all user traffic through the firewall, you need to indicate the subnet 0.0.0.0/0 (Fig. 17).
Figure 17 – Configuration of the IP address pool and routes
Next, it is necessary to configure Global Protect Portal. Specify the IP address of the firewall, SSL Profile og Authenticationsprofil and the list of external IP addresses of the firewalls to which the client will connect. If there are multiple firewalls, priorities can be set for each, according to which users will choose the firewall to connect to.
I sektionen Device -> GlobalProtect Client you need to download the VPN client distribution from Palo Alto Networks servers and activate it. To connect, the user should visit the portal web page where they will be offered to download GlobalProtect Client. After downloading and installing, they will be able to enter their credentials and connect to the corporate network via SSL VPN.
Konklusion
This concludes the setup of Palo Alto Networks. We hope the information was useful, and the reader gained insight into the technologies used in Palo Alto Networks. If you have questions about the setup or suggestions for topics of future articles, please write them in the comments; we would be happy to respond.
Kilde: habr.com
