{"id":32126,"date":"2019-10-31T21:45:18","date_gmt":"2019-10-31T18:45:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn\/"},"modified":"2019-10-31T21:45:18","modified_gmt":"2019-10-31T18:45:18","slug":"osobennosti-nastrojki-palo-alto-networks-ssl-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn","title":{"rendered":"Indstillingsspecifikationer for Palo Alto Networks: SSL VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Indstillingsspecifikationer
\n
\nP\u00e5 trods af de mange fordele ved Palo Alto Networks firewalls er der ikke meget materiale tilg\u00e6ngeligt online om konfigurationen af disse enheder samt beskrivelser af erfaringerne med deres implementering. Vi har besluttet at opsummere det materiale, vi har indsamlet gennem vores arbejde med denne leverand\u00f8rs udstyr, og fort\u00e6lle om de s\u00e6rlige udfordringer, vi har m\u00f8dt i forbindelse med gennemf\u00f8relsen af forskellige projekter. <\/p>\n

I denne artikel vil vi se p\u00e5 de indstillinger, der er n\u00f8dvendige for at l\u00f8se en af de mest almindelige opgaver inden for netv\u00e6rkssikkerhed - SSL VPN til fjernadgang. Vi vil ogs\u00e5 diskutere supplerende funktioner til den generelle konfiguration af firewallen, identifikation af brugere, applikationer og sikkerhedspolitikker. Hvis emnet interesserer l\u00e6serne, vil vi senere publicere materialer, der d\u00e6kker Site-to-Site. VPN<\/a>, dynamisk routing og centraliseret administration ved hj\u00e6lp af Panorama.
\n<\/a><\/noindex>
\nPalo Alto Networks firewalls anvender en r\u00e6kke innovative teknologier, herunder App-ID, User-ID og Content-ID. Anvendelse af denne funktionalitet sikrer et h\u00f8jt sikkerhedsniveau. For eksempel g\u00f8r App-ID det muligt at identificere applikationstrafik baseret p\u00e5 signaturer, dekodning og heuristik, uanset hvilken port og protokol der anvendes, ogs\u00e5 inden for SSL-tunnelen. User-ID muligg\u00f8r identifikation af netv\u00e6rksbrugere gennem integration med LDAP. Content-ID giver mulighed for at scanne trafikken og identificere overf\u00f8rte filer og deres indhold. Blandt andre funktioner i firewalls kan man fremh\u00e6ve beskyttelse mod indtr\u00e6ngen, beskyttelse mod s\u00e5rbarheder og DoS-angreb, indbygget antispyware, URL-filtering, clustering og centraliseret administration.<\/p>\n

Til demonstration vil vi bruge et isoleret testmilj\u00f8 med en konfiguration, der er identisk med en virkelig ops\u00e6tning, bortset fra enhedsnavne, AD-dom\u00e6nenavne og IP-adresser. I virkeligheden er alt mere komplekst - der kan v\u00e6re mange filialer. P\u00e5 gr\u00e6nserne af de centrale lokationer vil der i dette tilf\u00e6lde blive installeret et cluster i stedet for en enkelt firewall, og der kan ogs\u00e5 v\u00e6re behov for dynamisk routing.<\/p>\n

I testmilj\u00f8et anvendes PAN-OS 7.1.9<\/b>. Som en typisk konfiguration overvejer vi et netv\u00e6rk med en Palo Alto Networks firewall ved gr\u00e6nsen. Firewallen giver fjernadgang via SSL VPN til hovedkontoret. Active Directory-domainet vil blive brugt som brugerbase (figur 1).<\/p>\n

\"Indstillingsspecifikationer
\nFigur 1 \u2013 Strukturelt diagram over netv\u00e6rket<\/i><\/p>\n

Ops\u00e6tningsfaser:<\/p>\n

    \n
  1. Forudkonfiguration af enheden. Angivelse af navn, IP-adresser<\/a> styring, statiske ruter, administratoradgangskonti, administrationsprofiler<\/li>\n
  2. Installation af licenser, konfiguration og installation af opdateringer<\/li>\n
  3. Konfiguration af sikkerhedszoner, netv\u00e6rksinterface, trafikpolitikker, adresseovers\u00e6ttelse<\/li>\n
  4. Konfiguration af LDAP-authentifikationsprofil og User Identification-funktionen<\/li>\n
  5. Konfiguration af SSL VPN<\/li>\n<\/ol>\n

    <\/p>\n

    1. Forudkonfiguration<\/h4>\n

    \nDet prim\u00e6re v\u00e6rkt\u00f8j til konfiguration af Palo Alto Networks firewallen er webinterface, men det er ogs\u00e5 muligt at administrere via CLI. Som standard har management-interfacet IP-adresse 192.168.1.1\/24, login: admin, password: admin. <\/p>\n

    Adressen kan \u00e6ndres enten ved at forbinde til webinterfacet fra det samme netv\u00e6rk, eller ved hj\u00e6lp af kommandoen set deviceconfig system ip-address netmask<\/b>. Den udf\u00f8res i konfigurationsmodus. For at skifte til konfigurationsmodus bruges kommandoen configure<\/b>. Alle \u00e6ndringer p\u00e5 firewallen sker kun efter bekr\u00e6ftelse af indstillingerne med kommandoen commit<\/b>, b\u00e5de i kommandolinjemodus og i webinterfacet.<\/p>\n

    For at \u00e6ndre indstillingerne i webinterfacet bruges sektionen Device -> General Settings og Device -> Management Interface Settings.<\/b> Navn, bannere, tidszone og andre indstillinger kan angives i sektionen General Settings (figur 2).<\/p>\n

    \"Indstillingsspecifikationer
    \nFigur 2 \u2013 Indstillinger for management interface<\/i><\/p>\n

    Hvis der anvendes en virtuel firewall i et ESXi-milj\u00f8, skal brugen af MAC-adressen tildelt hypervisoren aktiveres i sektionen General Settings, eller MAC-adresserne, der er angivet p\u00e5 firewalls interface, skal konfigureres p\u00e5 hypervisoren, eller indstillingerne for virtuelle switcher skal \u00e6ndres til at tillade \u00e6ndringer af MAC-adresser. Ellers vil trafikken ikke passere.<\/p>\n

    Management-interfacet konfigureres separat og vises ikke i listen over netv\u00e6rksinterfaces. I sektionen Management Interface Settings<\/b> angives standard gateway for management-interfacet. Andre statiske ruter konfigureres i sektionen for virtuelle routere, som vil blive beskrevet senere. <\/p>\n

    For access to the device through other interfaces, it is necessary to create a management profile. Administrationsprofil<\/b> i sektionen Network -> Network Profiles -> Interface Mgmt<\/b> and assign it to the corresponding interface. <\/p>\n

    Next, it is necessary to configure DNS and NTP in the section Device -> Services<\/b> to receive updates and correctly display the time (see Fig. 3). By default, all traffic generated by the firewall uses the management interface IP address as the source IP address. Another interface can be assigned for each specific service in the section Service Route Configuration<\/b>.<\/p>\n

    \"Indstillingsspecifikationer
    \nFigure 3 \u2013 DNS, NTP, and system route service settings<\/i><\/p>\n

    2. License installation, settings, and update installation<\/h4>\n

    \nFor the full operation of all firewall functions, a license must be installed. A trial license can be used by requesting it from Palo Alto Networks partners. Its validity period is 30 days. The license is activated either via a file or via Auth-Code. Licenses are configured in the section Device -> Licenses<\/b> (see Fig. 4).
    \nAfter installing the license, it is necessary to configure the update installation in the section Device -> Dynamic Updates<\/b>.
    \nI sektionen Device -> Software<\/b> from which new versions of PAN-OS can be downloaded and installed.<\/p>\n

    \"Indstillingsspecifikationer
    \nFigure 4 \u2013 License management panel<\/i><\/p>\n

    3. Configuring security zones, network interfaces, traffic policies, address translation<\/h4>\n

    \nPalo Alto Networks firewalls apply zone logic when configuring network rules. Network interfaces are assigned to a specific zone, which is used in traffic rules. This approach allows for future configuration changes to be made without altering traffic rules, but instead reassigning the required interfaces to the corresponding zones. By default, traffic within a zone is permitted, while traffic between zones is denied, governed by the pre-installed rules intrazone-default<\/b> og interzone-default<\/b>.<\/p>\n

    \"Indstillingsspecifikationer
    \nFigure 5 \u2013 Security zones<\/i><\/p>\n

    In this example, the interface in the internal network is assigned to the zone internal<\/b>, while the internet-facing interface is assigned to the zone external<\/b>. An SSL VPN tunnel interface is created, assigned to the zone vpn <\/b>(see Fig. 5).<\/p>\n

    The network interfaces of the Palo Alto Networks firewall can operate in five different modes:<\/p>\n