Capa 3<\/b> Modo de enrutador<\/li>\n<\/ul>\n \nFigura 6 \u2013 Configuraci\u00f3n del modo de operaci\u00f3n de la interfaz<\/i><\/p>\n
En este ejemplo se utilizar\u00e1 el modo Capa 3 (fig. 6). En los par\u00e1metros de la interfaz de red se especifica la direcci\u00f3n IP, el modo de operaci\u00f3n y la zona de seguridad correspondiente. Adem\u00e1s del modo de operaci\u00f3n de la interfaz, es necesario asignarla al enrutador virtual Virtual Router, que es un equivalente a la instancia VRF en Palo Alto Networks. Los enrutadores virtuales est\u00e1n aislados entre s\u00ed y tienen sus propias tablas de enrutamiento y configuraciones de protocolos de red.<\/p>\n
En la configuraci\u00f3n del enrutador virtual se especifican rutas est\u00e1ticas y configuraciones de protocolos de enrutamiento. En este ejemplo, solo se ha creado la ruta predeterminada para el acceso a redes externas (fig. 7).<\/p>\n
Figura 7 \u2013 Configuraci\u00f3n del enrutador virtual<\/i><\/p>\n
El siguiente paso en la configuraci\u00f3n son las pol\u00edticas de tr\u00e1fico, secci\u00f3n Policies -> Security<\/b>. Un ejemplo de configuraci\u00f3n se muestra en la figura 8. La l\u00f3gica de funcionamiento de las reglas es la misma que en todos los cortafuegos. Las reglas se eval\u00faan de arriba hacia abajo, hasta el primer coincidencia. Descripci\u00f3n breve de las reglas:<\/p>\n
1. Acceso SSL VPN al Portal Web. Permite el acceso al portal web para la autenticaci\u00f3n de conexiones remotas.
Figura 8 \u2014 Ejemplo de configuraci\u00f3n de reglas de red<\/i><\/p>\n
Para la configuraci\u00f3n de NAT se utiliza la secci\u00f3n Policies -> NAT<\/b>. Un ejemplo de configuraci\u00f3n de NAT se muestra en la figura 9.<\/p>\n
Figura 9 \u2013 Ejemplo de configuraci\u00f3n de NAT<\/i><\/p>\n
Para cualquier tr\u00e1fico de internal a external se puede cambiar la direcci\u00f3n de origen por la direcci\u00f3n IP externa del cortafuegos y utilizar una direcci\u00f3n de puerto din\u00e1mica (PAT).<\/p>\n
4. Configuraci\u00f3n del perfil de autenticaci\u00f3n LDAP y la funci\u00f3n de Identificaci\u00f3n de Usuario.<\/b>
Figura 10 \u2013 Perfil LDAP<\/i><\/p>\n
Para que la autenticaci\u00f3n funcione, es necesario configurar Perfil LDAP<\/b> y Perfil de Autenticaci\u00f3n<\/b>. En la secci\u00f3n Dispositivo -> Perfiles de Servidor -> LDAP<\/b> (fig. 10) se debe indicar la direcci\u00f3n IP y el puerto del controlador de dominio, el tipo LDAP y la cuenta de usuario que pertenece a los grupos Operadores de Servidor<\/b>, Lectores de Registros de Eventos<\/b>, Usuarios de DCOM Distribuido<\/b>. Luego, en la secci\u00f3n Dispositivo -> Perfil de Autenticaci\u00f3n<\/b> creamos un perfil de autenticaci\u00f3n (fig. 11), seleccionamos el anteriormente creado Perfil LDAP<\/b> y en la pesta\u00f1a Avanzado especificamos el grupo de usuarios (fig. 12) a los que se les permite el acceso remoto. Es importante destacar el par\u00e1metro en el perfil Dominio de Usuario<\/b>, de lo contrario, la autorizaci\u00f3n basada en grupos no funcionar\u00e1. El campo debe contener el nombre NetBIOS del dominio.<\/p>\n
Figura 11 \u2013 Perfil de Autenticaci\u00f3n<\/i><\/p>\n
Figura 12 \u2013 Selecci\u00f3n del Grupo AD<\/i><\/p>\n
La siguiente etapa es la configuraci\u00f3n de Dispositivo -> Identificaci\u00f3n de Usuario<\/b>. Aqu\u00ed se debe indicar la direcci\u00f3n IP del controlador de dominio, las credenciales para la conexi\u00f3n, as\u00ed como configurar los par\u00e1metros Habilitar Registro de Seguridad<\/b>, Habilitar Sesi\u00f3n<\/b>, Habilitar Exploraci\u00f3n<\/b> (fig. 13). En la secci\u00f3n Asignaci\u00f3n de Grupos<\/b> (fig. 14) se deben marcar los par\u00e1metros de identificaci\u00f3n de objetos en LDAP y la lista de grupos que se utilizar\u00e1n para la autorizaci\u00f3n. Al igual que en el Perfil de Autenticaci\u00f3n, aqu\u00ed tambi\u00e9n se debe establecer el par\u00e1metro Dominio de Usuario.<\/p>\n
Figura 13 \u2013 Par\u00e1metros de Asignaci\u00f3n de Usuario<\/i><\/p>\n
Figura 14 \u2013 Par\u00e1metros de Asignaci\u00f3n de Grupos<\/i><\/p>\n
El \u00faltimo paso en esta etapa ser\u00e1 la creaci\u00f3n de una zona VPN y una interfaz para esta zona. En la interfaz, se debe activar el par\u00e1metro Habilitar Identificaci\u00f3n de Usuario<\/b> (fig. 15).<\/p>\n
Figura 15 \u2013 Configuraci\u00f3n de la zona VPN<\/i><\/p>\n5. Configuraci\u00f3n de SSL VPN<\/h4>\n
\nAntes de conectarse a SSL VPN, el usuario remoto debe acceder al portal web, autenticarse y descargar el cliente Global Protect. A continuaci\u00f3n, este cliente solicitar\u00e1 las credenciales y se conectar\u00e1 a la red corporativa. El portal web opera en modo https y, por lo tanto, es necesario establecer un certificado para \u00e9l. Utilice un certificado p\u00fablico siempre que sea posible. De esta manera, el usuario no recibir\u00e1 una advertencia sobre la invalidez del certificado en el sitio. Si no es posible usar un certificado p\u00fablico, ser\u00e1 necesario emitir uno propio, que se utilizar\u00e1 en la p\u00e1gina web para https. Este puede ser autoadjudicado o emitido a trav\u00e9s de una autoridad de certificaci\u00f3n local. La computadora remota debe tener el certificado ra\u00edz o autoadjudicado en la lista de autoridades de certificaci\u00f3n ra\u00edz de confianza para que el usuario no reciba un error al conectarse al portal web. En este ejemplo, se usar\u00e1 un certificado emitido a trav\u00e9s de los Servicios de Certificaci\u00f3n de Active Directory.<\/p>\n
Para emitir un certificado, es necesario crear una solicitud de certificado en la secci\u00f3n Device -> Certificate Management -> Certificates -> Generate<\/b>. En la solicitud especificamos el nombre del certificado y la direcci\u00f3n IP o FQDN del portal web (fig. 16). Despu\u00e9s de generar la solicitud, descargamos .csr<\/b> el archivo y copiamos su contenido en el campo de solicitud de certificado en el formulario web de AD CS Web Enrollment. Dependiendo de la configuraci\u00f3n de la autoridad de certificaci\u00f3n, la solicitud de certificado debe ser aprobada y descargar el certificado emitido en formato Base64 Encoded Certificate<\/b>. Adem\u00e1s, se debe descargar el certificado ra\u00edz de la autoridad de certificaci\u00f3n. Luego, ambos certificados deben importarse en el cortafuegos. Al importar el certificado para el portal web, es necesario seleccionar la solicitud en estado pendiente y pulsar importar. El nombre del certificado debe coincidir con el nombre especificado anteriormente en la solicitud. El nombre del certificado ra\u00edz puede indicarse de forma arbitraria. Tras importar el certificado, es necesario crear un SSL\/TLS Service Profile<\/b> en la secci\u00f3n Device -> Certificate Management<\/b>. En el perfil, indicamos el certificado importado anteriormente. <\/p>\n
Figura 16 \u2013 Solicitud de certificado<\/i><\/p>\n
El siguiente paso es la configuraci\u00f3n de los objetos Global Protect Gateway<\/b> y Global Protect Portal<\/b> en la secci\u00f3n Network -> Global Protect<\/b>. En la configuraci\u00f3n, Global Protect Gateway<\/b> especificamos la direcci\u00f3n IP externa del cortafuegos, as\u00ed como los SSL Profile creados anteriormente.<\/b>, Perfil de Autenticaci\u00f3n<\/b>, interfaz de t\u00fanel y configuraciones IP del cliente. Se necesita establecer un grupo de direcciones IP, del cual se asignar\u00e1 una direcci\u00f3n al cliente, y la Ruta de Acceso \u2013 que son las subredes a las que tendr\u00e1 acceso el cliente. Si se requiere enrutar todo el tr\u00e1fico del usuario a trav\u00e9s del firewall, debe indicarse la subred 0.0.0.0\/0 (fig. 17).<\/p>\n
Figura 17 \u2013 Configuraci\u00f3n del grupo de direcciones IP y rutas<\/i><\/p>\n
Luego es necesario configurar Global Protect Portal<\/b>. Se indica la direcci\u00f3n IP del firewall, SSL Profile creados anteriormente.<\/b> y Perfil de Autenticaci\u00f3n<\/b> y la lista de direcciones IP externas de los firewalls a los que se conectar\u00e1 el cliente. Si hay varios firewalls, se puede establecer una prioridad para cada uno, seg\u00fan la cual los usuarios elegir\u00e1n el firewall para conectarse.<\/p>\n
En la secci\u00f3n Dispositivo -> Cliente GlobalProtect<\/b> es necesario descargar el instalador del cliente VPN desde los servidores de Palo Alto Networks y activarlo. Para conectarse, el usuario debe acceder a la p\u00e1gina web del portal, donde se le ofrecer\u00e1 descargar Cliente GlobalProtect<\/b>. Despu\u00e9s de la descarga e instalaci\u00f3n, podr\u00e1 ingresar sus credenciales y conectarse a la red corporativa a trav\u00e9s de SSL VPN.<\/p>\nConclusi\u00f3n<\/h4>\n
\nCon esto, la parte de configuraci\u00f3n de Palo Alto Networks ha terminado. Esperamos que la informaci\u00f3n haya sido \u00fatil y que el lector haya obtenido una idea sobre las tecnolog\u00edas utilizadas en Palo Alto Networks. Si tiene preguntas sobre la configuraci\u00f3n o sugerencias sobre temas para futuros art\u00edculos, escr\u00edbalas en los comentarios, estaremos encantados de responder.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Caracter\u00edsticas](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")