Layer3<\/b> \u2013 Router-Modus.<\/li>\n<\/ul>\n \nAbbildung 6 \u2013 Konfiguration des Betriebsmodus der Schnittstelle<\/i><\/p>\n
In diesem Beispiel wird der Layer3-Modus verwendet (siehe Abbildung 6). In den Einstellungen der Netzwerkschnittstelle werden die IP-Adresse, der Betriebsmodus und die entsprechende Sicherheitszone angegeben. Neben dem Betriebsmodus der Schnittstelle muss diese auch dem virtuellen Router Virtual Router zugewiesen werden, was dem VRF-Instanz in Palo Alto Networks entspricht. Virtuelle Router sind voneinander isoliert und haben eigene Routing-Tabellen und Netzwerkkonfigurationsparameter.<\/p>\n
In den Einstellungen des virtuellen Routers werden statische Routen und Einstellungen der Routing-Protokolle angegeben. In diesem Beispiel wurde nur eine Standardroute f\u00fcr den Zugriff auf externe Netzwerke eingerichtet (siehe Abbildung 7).<\/p>\n
Abbildung 7 \u2013 Konfiguration des virtuellen Routers<\/i><\/p>\n
Der n\u00e4chste Schritt der Konfiguration sind die Verkehrsrichtlinien, Abschnitt Policies -> Security<\/b>. Ein Beispiel f\u00fcr die Konfiguration ist in Abbildung 8 dargestellt. Die Logik der Regeln funktioniert wie bei allen Firewalls. Die Regeln werden von oben nach unten gepr\u00fcft, bis eine \u00dcbereinstimmung gefunden wird. Eine kurze Beschreibung der Regeln:<\/p>\n
1. SSL VPN-Zugriff auf Webportal. Erlaubt den Zugriff auf das Webportal zur Authentifizierung von Remote-Verbindungen.
Abbildung 8 \u2013 Beispiel f\u00fcr die Konfiguration von Netzwerkregeln<\/i><\/p>\n
F\u00fcr die Konfiguration von NAT wird der Abschnitt Policies -> NAT<\/b>. Ein Beispiel f\u00fcr die NAT-Konfiguration ist in Abbildung 9 dargestellt.<\/p>\n
Abbildung 9 \u2013 Beispiel f\u00fcr die NAT-Konfiguration<\/i><\/p>\n
F\u00fcr jeglichen Verkehr von intern nach extern kann die Quelladresse auf die externe IP-Adresse der Firewall ge\u00e4ndert werden und es kann eine dynamische Portadressierung (PAT) verwendet werden.<\/p>\n
4. Konfiguration des LDAP-Authentifizierungsprofils und der Benutzeridentifikationsfunktion<\/b>
Abbildung 10 \u2013 LDAP-Profil<\/i><\/p>\n
Damit die Authentifizierung funktioniert, m\u00fcssen Sie LDAP-Profil<\/b> und Authentifizierungsprofil<\/b>. Im Abschnitt Ger\u00e4t -> Serverprofile -> LDAP<\/b> (Abb. 10) m\u00fcssen Sie die IP-Adresse und den Port des Dom\u00e4nencontrollers, den LDAP-Typ und das Benutzerkonto, das Mitglied in den Gruppen ist, angeben Server Operators<\/b>, Event Log Readers<\/b>, Distributed COM Users<\/b>. Dann im Abschnitt Ger\u00e4t -> Authentifizierungsprofil<\/b> erstellen wir ein Authentifizierungsprofil (Abb. 11), markieren das zuvor erstellte LDAP-Profil<\/b> und im Reiter Erweitert geben wir die Benutzergruppe an (Abb. 12), die remote Zugriff erhalten soll. Wichtig ist, im Profil den Parameter User Domain<\/b>, andernfalls funktioniert die gruppenbasierte Autorisierung nicht. Im Feld sollte der NetBIOS-Name der Dom\u00e4ne angegeben werden.<\/p>\n
Abb. 11 \u2013 Authentifizierungsprofil<\/i><\/p>\n
Abb. 12 \u2013 Auswahl der AD-Gruppe<\/i><\/p>\n
Der n\u00e4chste Schritt ist die Konfiguration Ger\u00e4t -> Benutzeridentifikation<\/b>. Hier m\u00fcssen Sie die IP-Adresse des Dom\u00e4nencontrollers, die Zugangsdaten f\u00fcr die Verbindung sowie die Parameter Enable Security Log<\/b>, Enable Session<\/b>, Enable Probing<\/b> (Abb. 13). Im Abschnitt Gruppenzuordnung<\/b> (Abb. 14) m\u00fcssen die Objekterkennungsparameter in LDAP und die Liste der Gruppen, die f\u00fcr die Autorisierung verwendet werden, festgelegt werden. Wie im Authentifizierungsprofil muss hier der Parameter User Domain angegeben werden.<\/p>\n
Abb. 13 \u2013 Parameter der Nutzerzuordnung<\/i><\/p>\n
Abbildung 14 \u2013 Gruppenabbildungsparameter<\/i><\/p>\n
Der letzte Schritt in diesem Stadium besteht darin, eine VPN-Zone und das zugeh\u00f6rige Interface zu erstellen. Im Interface muss die Einstellung Benutzeridentifizierung aktivieren<\/b> eingeschaltet werden (siehe Abb. 15).<\/p>\n
Abbildung 15 \u2013 VPN-Zone einrichten<\/i><\/p>\n5. SSL VPN einrichten<\/h4>\n
\nBevor Sie sich mit SSL VPN verbinden, muss der externe Benutzer das Webportal aufrufen, sich authentifizieren und den Global Protect-Client herunterladen. Dieser Client fordert anschlie\u00dfend die Anmeldeinformationen an und stellt die Verbindung zum Unternehmensnetzwerk her. Das Webportal arbeitet im https-Modus, daher ist es erforderlich, ein Zertifikat zu installieren. Verwenden Sie, wenn m\u00f6glich, ein \u00f6ffentliches Zertifikat. So erh\u00e4lt der Benutzer keine Warnung \u00fcber die Ung\u00fcltigkeit des Zertifikats auf der Seite. Falls die Verwendung eines \u00f6ffentlichen Zertifikats nicht m\u00f6glich ist, m\u00fcssen Sie ein eigenes Zertifikat ausstellen, das auf der Web-Seite f\u00fcr https verwendet wird. Es kann selbstsigniert oder durch eine lokale Zertifizierungsstelle ausgestellt werden. Der Remote-Computer muss das Root- oder selbstsignierte Zertifikat in der Liste der vertrauensw\u00fcrdigen Stammzertifizierungsstellen haben, damit kein Fehler beim Verbindungsaufbau zum Webportal auftritt. In diesem Beispiel wird ein Zertifikat verwendet, das durch den Active Directory-Zertifizierungsdienst ausgestellt wurde.<\/p>\n
Um ein Zertifikat auszustellen, m\u00fcssen Sie einen Zertifikatantrag im Bereich erstellen Device -> Certificate Management -> Certificates -> Generate<\/b>. Im Antrag geben wir den Namen des Zertifikats sowie die IP-Adresse oder den FQDN des Webportals an (siehe Abb. 16). Nach der Erstellung des Antrags laden wir .csr<\/b> die Datei herunter und kopieren ihren Inhalt in das Feld f\u00fcr den Zertifikatsantrag im Webformular zur AD CS Webanmeldung. Je nach Konfiguration der Zertifizierungsstelle muss der Zertifikatsantrag genehmigt und das ausgestellte Zertifikat im Format Base64-kodiertes Zertifikat<\/b>heruntergeladen werden. Zus\u00e4tzlich ist es erforderlich, das Root-Zertifikat der Zertifizierungsstelle herunterzuladen. Anschlie\u00dfend m\u00fcssen beide Zertifikate in die Firewall importiert werden. Beim Import des Zertifikats f\u00fcr das Webportal ist es wichtig, den Antrag mit dem Status 'pending' auszuw\u00e4hlen und auf 'importieren' zu klicken. Der Name des Zertifikats muss mit dem zuvor im Antrag angegebenen Namen \u00fcbereinstimmen. Der Name des Root-Zertifikats kann beliebig gew\u00e4hlt werden. Nach dem Import des Zertifikats muss ein SSL\/TLS-Dienstprofil<\/b> im Bereich Ger\u00e4t -> Zertifikatsverwaltung<\/b>. Im Profil geben wir das zuvor importierte Zertifikat an. <\/p>\n
Abb. 16 \u2013 Antrag auf Zertifikat<\/i><\/p>\n
Der n\u00e4chste Schritt besteht darin, die Objekte zu konfigurieren Global Protect Gateway<\/b> und Global Protect Portal<\/b> im Bereich Netzwerk -> Global Protect<\/b>. In den Einstellungen Global Protect Gateway<\/b> geben wir die externe IP-Adresse der Firewall sowie die zuvor erstellten SSL-Profile an.<\/b>, Authentifizierungsprofil<\/b>, Tunnel-Interface und IP-Einstellungen des Clients. Es ist erforderlich, einen IP-Adresspool festzulegen, aus dem die Adresse dem Client zugewiesen wird, sowie die Access Route \u2013 dies sind die Subnetze, zu denen der Client eine Route haben wird. Wenn die Anforderung besteht, gesamten Benutzertraffic \u00fcber eine Firewall zu leiten, sollte das Subnetz 0.0.0.0\/0 angegeben werden (siehe Abbildung 17).<\/p>\n
Abbildung 17 \u2013 Konfiguration des IP-Adresspools und der Routen<\/i><\/p>\n
Als N\u00e4chstes muss konfiguriert werden Global Protect Portal<\/b>. Geben Sie die IP-Adresse der Firewall an, SSL-Profile an.<\/b> und Authentifizierungsprofil<\/b> und die Liste der externen IP-Adressen der Firewalls, zu denen der Client eine Verbindung herstellen wird. Wenn es mehrere Firewalls gibt, kann f\u00fcr jede eine Priorit\u00e4t eingestellt werden, nach der die Benutzer die Firewall f\u00fcr die Verbindung ausw\u00e4hlen.<\/p>\n
Im Abschnitt Ger\u00e4t -> GlobalProtect Client<\/b> , das VPN-Client-Paket von den Servern von Palo Alto Networks herunterladen und aktivieren. Um eine Verbindung herzustellen, muss der Benutzer die Webseite des Portals besuchen, wo ihm angeboten wird, den GlobalProtect Client<\/b>herunterzuladen. Nach dem Herunterladen und Installieren kann der Benutzer seine Anmeldeinformationen eingeben und eine Verbindung zum Unternehmensnetzwerk \u00fcber SSL VPN herstellen.<\/p>\nFazit<\/h4>\n
\nMit diesem Abschnitt der Konfiguration von Palo Alto Networks sind wir am Ende. Wir hoffen, dass die Informationen n\u00fctzlich waren und der Leser einen Einblick in die Technologien von Palo Alto Networks erhalten hat. Bei Fragen zur Konfiguration oder W\u00fcnschen zu zuk\u00fcnftigen Themen k\u00f6nnen Sie diese gerne in den Kommentaren hinterlassen, wir freuen uns auf Ihre R\u00fcckmeldungen.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Besonderheiten](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")