Layer3<\/b> \u2013 Router-Modus<\/li>\n<\/ul>\n \nAbbildung 6 \u2013 Konfiguration des Schnittstellenbetriebsmodus<\/i><\/p>\n
In diesem Beispiel wird der Layer3-Modus verwendet (siehe Abb. 6). In den Einstellungen der Netzwerkschnittstelle werden die IP-Adresse, der Betriebsmodus und die entsprechende Sicherheitszone festgelegt. Neben dem Betriebsmodus der Schnittstelle muss sie dem virtuellen Router Virtual Router zugewiesen werden, was einem VRF-Instanz in Palo Alto Networks entspricht. Virtuelle Router sind voneinander isoliert und haben eigene Routing-Tabellen und Netzwerktechnikeinstellungen.<\/p>\n
In den Einstellungen des virtuellen Routers werden statische Routen und Routing-Protokolle festgelegt. In diesem Beispiel wurde nur die Standardroute f\u00fcr den Zugang zu externen Netzwerken erstellt (siehe Abb. 7).<\/p>\n
Abbildung 7 \u2013 Konfiguration des virtuellen Routers<\/i><\/p>\n
Der n\u00e4chste Schritt in der Konfiguration sind die Verkehrspolitiken, Abschnitt Policies -> Security<\/b>. Ein Beispiel f\u00fcr die Konfiguration ist in Abbildung 8 dargestellt. Die Logik der Regeln ist die gleiche wie bei allen Firewalls. Die Regeln werden von oben nach unten gepr\u00fcft, bis das erste Treffer gefunden wird. Eine kurze Beschreibung der Regeln:<\/p>\n
1. SSL VPN-Zugang zum Webportal. Erm\u00f6glicht den Zugang zum Webportal zur Authentifizierung von Remote-Verbindungen.
Abbildung 8 \u2013 Beispiel f\u00fcr die Konfiguration von Netzwerkregeln<\/i><\/p>\n
F\u00fcr die Konfiguration von NAT wird der Abschnitt Policies -> NAT<\/b>. Ein Beispiel f\u00fcr die NAT-Konfiguration ist in Abbildung 9 dargestellt.<\/p>\n
Abbildung 9 \u2013 Beispiel f\u00fcr die NAT-Konfiguration<\/i><\/p>\n
F\u00fcr jeden Verkehr von internal nach external kann die Quelladresse in die externe IP-Adresse der Firewall ge\u00e4ndert und eine dynamische Portadresse (PAT) verwendet werden.<\/p>\n
4. Konfiguration des LDAP-Authentifizierungsprofils und der Funktion User Identification<\/b>
Abbildung 10 \u2013 LDAP-Profil<\/i><\/p>\n
Damit die Authentifizierung funktioniert, muss konfiguriert werden LDAP-Profil<\/b> und Authentifizierungsprofil<\/b>. Im Abschnitt Ger\u00e4t -> Server-Profile -> LDAP<\/b> (Abb. 10) muss die IP-Adresse und der Port des Dom\u00e4nencontrollers, den LDAP-Typ und das Benutzerkonto, das in Gruppen eingetragen ist, angegeben werden Server Operators<\/b>, Event Log Readers<\/b>, Distributed COM Users<\/b>. Dann im Abschnitt Ger\u00e4t -> Authentifizierungsprofil<\/b> erstellen wir ein Authentifizierungsprofil (Abb. 11) und markieren das zuvor erstellte LDAP-Profil<\/b> und im Reiter Erweitert geben wir die Benutzergruppe an (Abb. 12), die Remote-Zugriff erhalten soll. Es ist wichtig, im Profil den Parameter Benutzerdomain<\/b>, sonst funktioniert die gruppenbasierte Autorisierung nicht. Im Feld muss der NetBIOS-Name der Dom\u00e4ne angegeben werden.<\/p>\n
Abbildung 11 \u2013 Authentifizierungsprofil<\/i><\/p>\n
Abbildung 12 \u2013 Auswahl der AD-Gruppe<\/i><\/p>\n
Der n\u00e4chste Schritt ist die Konfiguration Ger\u00e4t -> Benutzeridentifikation<\/b>. Hier m\u00fcssen die IP-Adresse des Dom\u00e4nencontrollers, die Anmeldeinformationen f\u00fcr die Verbindung sowie die Parameter konfiguriert werden Sicherheitsprotokoll aktivieren<\/b>, Session aktivieren<\/b>, Probing aktivieren<\/b> (Abb. 13). Im Abschnitt Gruppenzuordnung<\/b> (Abb. 14) m\u00fcssen die Objekterkennungsparameter im LDAP und die Gruppen aufgelistet werden, die zur Autorisierung verwendet werden. Auch hier muss der Parameter Benutzerdomain wie im Authentifizierungsprofil festgelegt werden.<\/p>\n
Abbildung 13 \u2013 Benutzerzuordnungsparameter<\/i><\/p>\n
Abbildung 14 \u2013 Gruppenzuordnungsparameter<\/i><\/p>\n
Der letzte Schritt in diesem Abschnitt besteht darin, eine VPN-Zone und eine Schnittstelle f\u00fcr diese Zone zu erstellen. An der Schnittstelle muss der Parameter Benutzeridentifikation aktivieren<\/b> (Abb. 15).<\/p>\n
Abbildung 15 \u2013 Konfiguration der VPN-Zone<\/i><\/p>\n5. Konfiguration von SSL VPN<\/h4>\n
\nBevor Sie sich mit SSL VPN verbinden, muss der entfernte Benutzer das Webportal aufrufen, sich authentifizieren und den Global Protect Client herunterladen. Anschlie\u00dfend fordert dieser Client die Anmeldedaten an und verbindet sich mit dem Unternehmensnetzwerk. Das Webportal arbeitet im HTTPS-Modus, weshalb ein Zertifikat installiert werden muss. Verwenden Sie, wenn m\u00f6glich, ein \u00f6ffentliches Zertifikat. Dadurch erh\u00e4lt der Benutzer keine Warnung bez\u00fcglich der Ung\u00fcltigkeit des Zertifikats auf der Website. Falls es nicht m\u00f6glich ist, ein \u00f6ffentliches Zertifikat zu verwenden, muss ein eigenes Zertifikat ausgestellt werden, das auf der Webseite f\u00fcr HTTPS verwendet wird. Es kann selbstsigniert oder von einer lokalen Zertifizierungsstelle ausgestellt sein. Der entfernte Computer muss das Stamm- oder selbstsignierte Zertifikat in der Liste der vertrauensw\u00fcrdigen Stammzertifizierungsstellen haben, damit dem Benutzer kein Fehler beim Verbinden mit dem Webportal angezeigt wird. In diesem Beispiel wird ein Zertifikat verwendet, das \u00fcber die Active Directory-Zertifikatsdienste ausgestellt wurde.<\/p>\n
Um ein Zertifikat auszustellen, muss ein Zertifikatsantrag im Abschnitt Ger\u00e4t -> Zertifikatverwaltung -> Zertifikate -> Generieren<\/b>erstellt werden. Im Antrag geben wir den Namen des Zertifikats sowie die IP-Adresse oder den FQDN des Webportals an (siehe Abb. 16). Nach der Generierung des Antrags laden wir .csr<\/b> die Datei herunter und kopieren deren Inhalt in das Feld f\u00fcr den Zertifikatsantrag im Webformular der AD CS-Webanmeldung. Je nach Konfiguration der Zertifizierungsstelle muss der Zertifikatsantrag genehmigt werden und das ausgestellte Zertifikat im Format Base64 Encoded Certificate<\/b>heruntergeladen werden. Zus\u00e4tzlich muss das Stammzertifikat der Zertifizierungsstelle heruntergeladen werden. Danach m\u00fcssen beide Zertifikate auf die Firewall importiert werden. Beim Import des Zertifikats f\u00fcr das Webportal muss der Antrag im Status \u201eausstehend\u201c ausgew\u00e4hlt und auf Import gedr\u00fcckt werden. Der Name des Zertifikats muss mit dem zuvor im Antrag angegebenen Namen \u00fcbereinstimmen. Der Name des Stammzertifikats kann beliebig angegeben werden. Nach dem Import des Zertifikats muss ein SSL\/TLS-Dienstprofil<\/b> im Abschnitt Ger\u00e4t -> Zertifikatverwaltung<\/b>erstellt werden. Im Profil geben wir das zuvor importierte Zertifikat an. <\/p>\n
Abbildung 16 \u2013 Antrag auf Zertifikat<\/i><\/p>\n
Der n\u00e4chste Schritt ist die Konfiguration der Objekte Global Protect Gateway<\/b> und Global Protect Portal<\/b> im Abschnitt Netzwerk -> Global Protect<\/b>. In den Einstellungen geben wir die \u00f6ffentliche IP-Adresse der Firewall sowie die zuvor erstellten Global Protect Gateway<\/b> SSL-Profile SSL-Profil<\/b>, Authentifizierungsprofil<\/b>, Tunnel-Interface und IP-Konfiguration des Kunden. Es muss ein IP-Adresspool festgelegt werden, aus dem die Adresse dem Kunden zugewiesen wird, sowie die Access Route \u2013 das sind die Subnetze, zu denen die Route f\u00fcr den Kunden f\u00fchrt. Wenn die Aufgabe darin besteht, den gesamten Benutzerverkehr \u00fcber die Firewall zu leiten, muss das Subnetz 0.0.0.0\/0 angegeben werden (Abb. 17).<\/p>\n
Abb. 17 \u2013 Konfiguration des IP-Adresspools und der Routen<\/i><\/p>\n
Dann muss Global Protect Portal<\/b>die IP-Adresse der Firewall angegeben werden, SSL-Profil<\/b> und Authentifizierungsprofil<\/b> und die Liste der externen IP-Adressen der Firewalls, mit denen sich der Kunde verbinden wird. Wenn es mehrere Firewalls gibt, kann f\u00fcr jede eine Priorit\u00e4t festgelegt werden, nach der Benutzer die Firewall zur Verbindung ausw\u00e4hlen.<\/p>\n
Im Abschnitt Device -> GlobalProtect Client<\/b> muss der VPN-Client von den Servern von Palo Alto Networks heruntergeladen und aktiviert werden. Um sich zu verbinden, muss der Benutzer die Webseite des Portals besuchen, wo er aufgefordert wird, den GlobalProtect Client<\/b>herunterzuladen. Nach dem Herunterladen und Installieren kann er seine Anmeldeinformationen eingeben und sich \u00fcber SSL VPN mit dem Unternehmensnetzwerk verbinden.<\/p>\nFazit<\/h4>\n
\nDamit endet der Teil der Konfiguration von Palo Alto Networks. Wir hoffen, die Informationen waren n\u00fctzlich und der Leser hat einen Einblick in die Technologien gewonnen, die bei Palo Alto Networks verwendet werden. Wenn Sie Fragen zur Konfiguration oder Vorschl\u00e4ge f\u00fcr zuk\u00fcnftige Artikel haben, schreiben Sie diese in die Kommentare, wir freuen uns, darauf zu antworten.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Besonderheiten](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")