Trotz aller Vorteile der Palo Alto Networks Firewalls gibt es im russischen Internet nicht viele Materialien zur Konfiguration dieser Geräte sowie Texte, die Erfahrungen mit deren Implementierung beschreiben. Wir haben uns entschieden, die Materialien zusammenzufassen, die wir während unserer Arbeit mit der Hardware dieses Anbieters angesammelt haben, und über die Besonderheiten zu berichten, auf die wir im Verlauf verschiedener Projekte gestoßen sind.
In diesem Artikel werden die notwendigen Einstellungen vorgestellt, um eine der häufigsten Aufgaben der Netzwerksicherheit zu lösen – SSL VPN für den Fernzugriff. Zudem sprechen wir über zusätzliche Funktionen zur allgemeinen Konfiguration der Firewall, zur Identifizierung von Benutzern, Anwendungen und Sicherheitsrichtlinien. Bei Interesse der Leser werden wir in Zukunft Materialien zu Site-to-Site, VPN, dynamischem Routing und zentralisiertem Management mit Panorama veröffentlichen.
Die Firewalls von Palo Alto Networks nutzen eine Reihe innovativer Technologien, darunter App-ID, User-ID, Content-ID. Der Einsatz dieser Funktionen ermöglicht ein hohes Maß an Sicherheit. So ist es beispielsweise mit App-ID möglich, den Datenverkehr von Anwendungen basierend auf Signaturen, Dekodierung und Heuristik zu identifizieren, unabhängig von dem verwendeten Port und Protokoll, auch innerhalb eines SSL-Tunnels. User-ID ermöglicht die Identifizierung von Benutzern im Netzwerk durch die Integration mit LDAP. Content-ID bietet die Möglichkeit, den Datenverkehr zu scannen und die übertragenen Dateien sowie deren Inhalte zu identifizieren. Zu den weiteren Funktionen der Firewalls zählen der Schutz vor Eindringlingen, der Schutz vor Schwachstellen und DoS-Angriffen, integrierte Antispyware, URL-Filterung, Clusterbildung und zentralisierte Verwaltung.
Für die Demonstration verwenden wir eine isolierte Umgebung mit einer Konfiguration, die der realen entspricht, mit Ausnahme der Gerätenamen, des AD-Domänennamens und der IP-Adressen. In der Realität ist es komplizierter – es kann viele Zweigstellen geben. An den Grenzen der zentralen Standorte wird in diesem Fall anstelle einer einzelnen Firewall ein Cluster installiert, und es kann auch dynamisches Routing erforderlich sein.
In der Umgebung wird verwendet PAN-OS 7.1.9. Als Beispielkonfiguration betrachten wir ein Netzwerk mit einer Palo Alto Networks Firewall an der Grenze. Die Firewall bietet SSL-VPN-Zugang zum Hauptbüro. Als Benutzerdatenbank wird die Active Directory-Domain verwendet (Abbildung 1).
Abbildung 1 – Strukturdiagramm des Netzwerks
Einrichtungsphasen:
- Vorkonfiguration des Geräts. Vergabe eines Namens, IP-Adressen Management, statische Routen, Administratorkonten, Verwaltungskonten
- Installation von Lizenzen, Konfiguration und Installation von Updates
- Einrichtung von Sicherheitszonen, Netzwerkschnittstellen, Verkehrsrichtlinien, Adressübersetzung
- Konfiguration des LDAP-Authentifizierungsprofils und der Funktion zur Benutzeridentifikation
- Einrichtung von SSL VPN
1. Vorkonfiguration
Das Hauptwerkzeug zur Konfiguration der Palo Alto Networks Firewall ist die Weboberfläche; alternativ kann auch über die CLI gearbeitet werden. Standardmäßig hat die Management-Schnittstelle die IP-Adresse 192.168.1.1/24, login: admin, passwort: admin.
Die Adresse kann entweder durch Anschluss an die Weboberfläche im selben Netzwerk oder durch den Befehl set deviceconfig system ip-address netmask. Dies geschieht im Konfigurationsmodus. Zum Wechseln in den Konfigurationsmodus wird der Befehl verwendet configure. Alle Änderungen an der Firewall treten erst nach Bestätigung der Einstellungen durch den Befehl commitin sowohl der Kommandozeile als auch der Weboberfläche in Kraft.
Zum Ändern der Einstellungen in der Weboberfläche wird der Bereich Device -> Allgemeine Einstellungen und Device -> Verwaltungsschnittstelleneinstellungen verwendet. Name, Banner, Zeitzone und andere Einstellungen können im Bereich Allgemeine Einstellungen festgelegt werden (Abb. 2).
Abbildung 2 – Einstellungen der Verwaltungsschnittstelle
Falls eine virtuelle Firewall in einer ESXi-Umgebung eingesetzt wird, muss im Bereich Allgemeine Einstellungen die Verwendung der von Hypervisor zugewiesenen MAC-Adresse aktiviert werden, alternativ müssen auf dem Hypervisor die MAC-Adressen konfiguriert werden, die auf den Schnittstellen der Firewall festgelegt sind, oder die Einstellungen der virtuellen Switches müssen so geändert werden, dass MAC-Adressenänderungen zulässig sind. Andernfalls wird der Datenverkehr nicht durchgelassen.
Die Verwaltungsschnittstelle wird separat konfiguriert und wird nicht in der Liste der Netzwerkschnittstellen angezeigt. Im Bereich Einstellungen der Verwaltungsschnittstelle wird das Standardgateway für die Verwaltungsschnittstelle angegeben. Weitere statische Routen werden im Bereich der virtuellen Router konfiguriert, dazu wird an anderer Stelle mehr geschrieben.
Um den Zugriff auf das Gerät über andere Schnittstellen zu ermöglichen, muss ein Verwaltungsprofil erstellt werden. Verwaltungsprofil im Abschnitt Netzwerk -> Netzwerkprofile -> Schnittstellenverwaltung und diesem die entsprechende Schnittstelle zugewiesen werden.
Anschließend müssen DNS und NTP im Abschnitt Gerät -> Dienste konfiguriert werden, um Updates zu erhalten und die Zeit korrekt anzuzeigen (Abb. 3). Standardmäßig verwendet der gesamte vom Firewall generierte Datenverkehr die IP-Adresse der Verwaltungs-Schnittstelle als Quell-IP-Adresse. Eine andere Schnittstelle für jeden spezifischen Dienst kann im Abschnitt zugewiesen werden Konfiguration der Dienstroute.
Abb. 3 – Einstellungen für die Dienste DNS, NTP und Systemrouten
2. Installation von Lizenzen, Konfiguration und Installation von Updates
Für den ordnungsgemäßen Betrieb aller Funktionen der Firewall ist die Installation einer Lizenz erforderlich. Eine Testlizenz kann bei den Partnern von Palo Alto Networks angefordert werden. Ihre Gültigkeit beträgt 30 Tage. Die Lizenz kann entweder über eine Datei oder mit einem Auth-Code aktiviert werden. Die Lizenzen werden im Abschnitt Gerät -> Lizenzen (Abb. 4).
Nach der Installation der Lizenz muss die Installation von Updates im Abschnitt Gerät -> Dynamische Updates.
Im Abschnitt Gerät -> Software neue Versionen von PAN-OS heruntergeladen und installiert werden.
Abb. 4 – Lizenzverwaltungs-Paneel
3. Konfiguration von Sicherheitszonen, Netzwerkschnittstellen, Verkehrsrichtlinien, Adressübersetzung
Die Firewalls von Palo Alto Networks wenden die Logik von Zonen bei der Konfiguration von Netzwerkregeln an. Netzwerkschnittstellen werden einer bestimmten Zone zugewiesen, die in Verkehrsregeln verwendet wird. Dieser Ansatz ermöglicht es, bei Änderungen der Schnittstelleneinstellungen die Verkehrsregeln nicht anzupassen, sondern stattdessen die benötigten Schnittstellen den entsprechenden Zonen neu zuzuweisen. Standardmäßig ist der Datenverkehr innerhalb einer Zone erlaubt, der Datenverkehr zwischen Zonen ist verboten, was durch vordefinierte Regeln gesteuert wird. intrazone-default und interzone-default.
Abb. 5 – Sicherheitszonen
In diesem Beispiel wurde die Schnittstelle im internen Netzwerk der Zone internalzugewiesen, während die Schnittstelle, die ins Internet führt, der Zone externalzugewiesen wurde. Für die SSL VPN wurde eine Tunnel-Schnittstelle erstellt, die der Zone zugewiesen ist vpn (Abb. 5).
Die Netzwerkschnittstellen der Palo Alto Networks Firewall können in fünf verschiedenen Modi betrieben werden:
- Tap – wird für die Sammlung von Datenverkehr zu Überwachungs- und Analysezwecken verwendet.
- HA – wird für den Betrieb des Clusters verwendet.
- Virtual Wire In diesem Modus kombiniert Palo Alto Networks zwei Schnittstellen und leitet den Datenverkehr transparent zwischen ihnen weiter, ohne MAC- und IP-Adressen zu ändern.
- Layer2 – Switch-Modus
- Layer3 – Router-Modus
Abbildung 6 – Konfiguration des Schnittstellenbetriebsmodus
In diesem Beispiel wird der Layer3-Modus verwendet (siehe Abb. 6). In den Einstellungen der Netzwerkschnittstelle werden die IP-Adresse, der Betriebsmodus und die entsprechende Sicherheitszone festgelegt. Neben dem Betriebsmodus der Schnittstelle muss sie dem virtuellen Router Virtual Router zugewiesen werden, was einem VRF-Instanz in Palo Alto Networks entspricht. Virtuelle Router sind voneinander isoliert und haben eigene Routing-Tabellen und Netzwerktechnikeinstellungen.
In den Einstellungen des virtuellen Routers werden statische Routen und Routing-Protokolle festgelegt. In diesem Beispiel wurde nur die Standardroute für den Zugang zu externen Netzwerken erstellt (siehe Abb. 7).
Abbildung 7 – Konfiguration des virtuellen Routers
Der nächste Schritt in der Konfiguration sind die Verkehrspolitiken, Abschnitt Policies -> Security. Ein Beispiel für die Konfiguration ist in Abbildung 8 dargestellt. Die Logik der Regeln ist die gleiche wie bei allen Firewalls. Die Regeln werden von oben nach unten geprüft, bis das erste Treffer gefunden wird. Eine kurze Beschreibung der Regeln:
1. SSL VPN-Zugang zum Webportal. Ermöglicht den Zugang zum Webportal zur Authentifizierung von Remote-Verbindungen.
2. VPN-Verkehr – Erlaubt den Verkehr zwischen Remote-Verbindungen und der Hauptzentrale.
3. Basis-Internet – Erlaubt Anwendungen wie DNS, Ping, Traceroute, NTP. Die Firewall erlaubt Anwendungen basierend auf Signaturen, Dekodierung und Heuristik und nicht auf Ports und Protokollen, daher ist im Abschnitt Service application-default angegeben. Der Standardport/das Standardprotokoll für diese Anwendung.
4. Webzugang – Erlaubt den Zugriff auf das Internet über die Protokolle HTTP und HTTPS ohne Anwendungsüberwachung.
5,6. Standardregeln für den übrigen Verkehr.
Abbildung 8 – Beispiel für die Konfiguration von Netzwerkregeln
Für die Konfiguration von NAT wird der Abschnitt Policies -> NAT. Ein Beispiel für die NAT-Konfiguration ist in Abbildung 9 dargestellt.
Abbildung 9 – Beispiel für die NAT-Konfiguration
Für jeden Verkehr von internal nach external kann die Quelladresse in die externe IP-Adresse der Firewall geändert und eine dynamische Portadresse (PAT) verwendet werden.
4. Konfiguration des LDAP-Authentifizierungsprofils und der Funktion User Identification
Vor der Verbindung von Benutzern über SSL-VPN muss der Authentifizierungsmechanismus konfiguriert werden. In diesem Beispiel erfolgt die Authentifizierung über den Active Directory-Domänencontroller über die Weboberfläche von Palo Alto Networks.
Abbildung 10 – LDAP-Profil
Damit die Authentifizierung funktioniert, muss konfiguriert werden LDAP-Profil und Authentifizierungsprofil. Im Abschnitt Gerät -> Server-Profile -> LDAP (Abb. 10) muss die IP-Adresse und der Port des Domänencontrollers, den LDAP-Typ und das Benutzerkonto, das in Gruppen eingetragen ist, angegeben werden Server Operators, Event Log Readers, Distributed COM Users. Dann im Abschnitt Gerät -> Authentifizierungsprofil erstellen wir ein Authentifizierungsprofil (Abb. 11) und markieren das zuvor erstellte LDAP-Profil und im Reiter Erweitert geben wir die Benutzergruppe an (Abb. 12), die Remote-Zugriff erhalten soll. Es ist wichtig, im Profil den Parameter Benutzerdomain, sonst funktioniert die gruppenbasierte Autorisierung nicht. Im Feld muss der NetBIOS-Name der Domäne angegeben werden.
Abbildung 11 – Authentifizierungsprofil
Abbildung 12 – Auswahl der AD-Gruppe
Der nächste Schritt ist die Konfiguration Gerät -> Benutzeridentifikation. Hier müssen die IP-Adresse des Domänencontrollers, die Anmeldeinformationen für die Verbindung sowie die Parameter konfiguriert werden Sicherheitsprotokoll aktivieren, Session aktivieren, Probing aktivieren (Abb. 13). Im Abschnitt Gruppenzuordnung (Abb. 14) müssen die Objekterkennungsparameter im LDAP und die Gruppen aufgelistet werden, die zur Autorisierung verwendet werden. Auch hier muss der Parameter Benutzerdomain wie im Authentifizierungsprofil festgelegt werden.
Abbildung 13 – Benutzerzuordnungsparameter
Abbildung 14 – Gruppenzuordnungsparameter
Der letzte Schritt in diesem Abschnitt besteht darin, eine VPN-Zone und eine Schnittstelle für diese Zone zu erstellen. An der Schnittstelle muss der Parameter Benutzeridentifikation aktivieren (Abb. 15).
Abbildung 15 – Konfiguration der VPN-Zone
5. Konfiguration von SSL VPN
Bevor Sie sich mit SSL VPN verbinden, muss der entfernte Benutzer das Webportal aufrufen, sich authentifizieren und den Global Protect Client herunterladen. Anschließend fordert dieser Client die Anmeldedaten an und verbindet sich mit dem Unternehmensnetzwerk. Das Webportal arbeitet im HTTPS-Modus, weshalb ein Zertifikat installiert werden muss. Verwenden Sie, wenn möglich, ein öffentliches Zertifikat. Dadurch erhält der Benutzer keine Warnung bezüglich der Ungültigkeit des Zertifikats auf der Website. Falls es nicht möglich ist, ein öffentliches Zertifikat zu verwenden, muss ein eigenes Zertifikat ausgestellt werden, das auf der Webseite für HTTPS verwendet wird. Es kann selbstsigniert oder von einer lokalen Zertifizierungsstelle ausgestellt sein. Der entfernte Computer muss das Stamm- oder selbstsignierte Zertifikat in der Liste der vertrauenswürdigen Stammzertifizierungsstellen haben, damit dem Benutzer kein Fehler beim Verbinden mit dem Webportal angezeigt wird. In diesem Beispiel wird ein Zertifikat verwendet, das über die Active Directory-Zertifikatsdienste ausgestellt wurde.
Um ein Zertifikat auszustellen, muss ein Zertifikatsantrag im Abschnitt Gerät -> Zertifikatverwaltung -> Zertifikate -> Generierenerstellt werden. Im Antrag geben wir den Namen des Zertifikats sowie die IP-Adresse oder den FQDN des Webportals an (siehe Abb. 16). Nach der Generierung des Antrags laden wir .csr die Datei herunter und kopieren deren Inhalt in das Feld für den Zertifikatsantrag im Webformular der AD CS-Webanmeldung. Je nach Konfiguration der Zertifizierungsstelle muss der Zertifikatsantrag genehmigt werden und das ausgestellte Zertifikat im Format Base64 Encoded Certificateheruntergeladen werden. Zusätzlich muss das Stammzertifikat der Zertifizierungsstelle heruntergeladen werden. Danach müssen beide Zertifikate auf die Firewall importiert werden. Beim Import des Zertifikats für das Webportal muss der Antrag im Status „ausstehend“ ausgewählt und auf Import gedrückt werden. Der Name des Zertifikats muss mit dem zuvor im Antrag angegebenen Namen übereinstimmen. Der Name des Stammzertifikats kann beliebig angegeben werden. Nach dem Import des Zertifikats muss ein SSL/TLS-Dienstprofil im Abschnitt Gerät -> Zertifikatverwaltungerstellt werden. Im Profil geben wir das zuvor importierte Zertifikat an.
Abbildung 16 – Antrag auf Zertifikat
Der nächste Schritt ist die Konfiguration der Objekte Global Protect Gateway und Global Protect Portal im Abschnitt Netzwerk -> Global Protect. In den Einstellungen geben wir die öffentliche IP-Adresse der Firewall sowie die zuvor erstellten Global Protect Gateway SSL-Profile SSL-Profil, Authentifizierungsprofil, Tunnel-Interface und IP-Konfiguration des Kunden. Es muss ein IP-Adresspool festgelegt werden, aus dem die Adresse dem Kunden zugewiesen wird, sowie die Access Route – das sind die Subnetze, zu denen die Route für den Kunden führt. Wenn die Aufgabe darin besteht, den gesamten Benutzerverkehr über die Firewall zu leiten, muss das Subnetz 0.0.0.0/0 angegeben werden (Abb. 17).
Abb. 17 – Konfiguration des IP-Adresspools und der Routen
Dann muss Global Protect Portaldie IP-Adresse der Firewall angegeben werden, SSL-Profil und Authentifizierungsprofil und die Liste der externen IP-Adressen der Firewalls, mit denen sich der Kunde verbinden wird. Wenn es mehrere Firewalls gibt, kann für jede eine Priorität festgelegt werden, nach der Benutzer die Firewall zur Verbindung auswählen.
Im Abschnitt Device -> GlobalProtect Client muss der VPN-Client von den Servern von Palo Alto Networks heruntergeladen und aktiviert werden. Um sich zu verbinden, muss der Benutzer die Webseite des Portals besuchen, wo er aufgefordert wird, den GlobalProtect Clientherunterzuladen. Nach dem Herunterladen und Installieren kann er seine Anmeldeinformationen eingeben und sich über SSL VPN mit dem Unternehmensnetzwerk verbinden.
Fazit
Damit endet der Teil der Konfiguration von Palo Alto Networks. Wir hoffen, die Informationen waren nützlich und der Leser hat einen Einblick in die Technologien gewonnen, die bei Palo Alto Networks verwendet werden. Wenn Sie Fragen zur Konfiguration oder Vorschläge für zukünftige Artikel haben, schreiben Sie diese in die Kommentare, wir freuen uns, darauf zu antworten.
Quelle: habr.com
