🥇Palo Alto Networks'i seadistamise eripära: SSL VPN

Hoolimata Palo Alto Networks tulemüüride kõigist eelistest on venekeelses internetis nende seadmete seadistamisest vähe materjale ning ka rakendamise kogemustest räägitakse harva. Otsustasime kokku võtta meie kogutud materjalid selle tootja seadmete kasutamise ajalt ja rääkida eripäradest, millega olen erinevate projektide läbiviimisel silmitsi seisnud.

Selle artikli eesmärk on tutvustada Palo Alto Networks'i seadistusi, mis on vajalikud ühe levinuma tulemüürimise probleemi lahendamiseks - SSL VPN kaugjuurdepääsuks. Samuti käsitleme abifunktsioone, mis aitavad tulemüüri üldset seadistust ning kasutajate, rakenduste ja turvapoliitikate tuvastamist. Kui see teema huvitab lugejaid, plaanime tulevikus välja anda materjale Site-to-Site, dünaamilise marsruutimise ning Panorama kaudu keskse halduse kohta. VPN, dünaamilise marsruutimise ja Panorama abil keskse haldamisega.

Palo Alto Networks'i tulemüürid kasutavad mitmeid innovaatilisi tehnoloogiaid, sealhulgas App-ID, User-ID ja Content-ID. Selle funktsionaalsuse rakendamine võimaldab tagada kõrge turvalisuse taseme. Näiteks võimaldab App-ID tuvastada rakenduste liiklust allkirjade, dekodeerimise ja heuristika põhjal, sõltumata kasutatavast sadamast ja protokollist, sealhulgas SSL-tunneli sees. User-ID võimaldab tuvastada võrgu kasutajaid, integreerides LDAP-iga. Content-ID annab võimaluse skannida liiklust ja tuvastada edastatavaid faile ning nende sisu. Tulemüüride muude funktsioonide hulka kuuluvad sissetungi kaitse, haavatavuste kaitse ja DoS-rünnakute tõrje, sisseehitatud nuhkvara kaitse, URL-i filtreerimine, klasterdamine ja tsentraliseeritud haldus.

Katses kasutame isoleeritud seisu, millel on konfiguratsioon, mis on sarnane reaalsele, välja arvatud seadmete nimed, AD domeeni nimi ja IP-aadressid. Reaalsuses on kõik keerulisem — filiaalide arv võib olla suur. Keskuste piiridel paigaldatakse sel juhul ühe asemel klaster tulemüürideks ja dünaamiline marsruutimine võib samuti olla vajalik.

Seisul on kasutusel PAN-OS 7.1.9. Standardkonfiguratsioonina vaatleme võrku Palo Alto Networks tulemüüriga piiril. Tulemüür pakub SSL VPN kaugjuurdepääsu peakorterile. Kasutajate andmebaasina kasutatakse Active Directory domeeni (joonis 1).

Joonis 1 – Võrgu struktuuriskeem

Seadistamise etapid:

Seadme eelseadistamine. Nime määramine, IP-aadressid haldamine, staatilised marsruudid, administraatori kontod, halduspoliitikad
Litsentside installimine, seadmise ja värskenduste seadistamine
Turvapiirkondade, võrgu liideste, liiklusreeglite, aadresside tõlkimise seadistamine
LDAP autentimise profiili ja kasutaja identifitseerimise funktsiooni seadistamine
SSL VPN seadistamine

1. Eelseadistamine

Palo Alto Networks'i tulemüüride seadistamise peamine tööriist on veebiliides, haldamine on võimalik ka CLI kaudu. Vaikimisi on haldusseadme IP-aadressiks 192.168.1.1/24, kasutajanimi: admin, parool: admin.

Aadressi saab muuta, ühendudes kas veebiliidese kaudu samast võrgust või käsu kaudu set deviceconfig system ip-address netmask. Seda teostatakse seadistamisrežiimis. Seadistamisrežiimi üleminekuks kasutatakse käsku configure. Kõik muudatused tulemüüri seadetes jõustuvad ainult pärast seadete kinnitamist käsuga commit, nii käsurežiimis kui ka veebiliideses.

Veebiliidese seadete muutmiseks kasutatakse sektsiooni Device -> General Settings ja Device -> Management Interface Settings. Nime, bännerid, ajavöönd ja muud seaded saab määrata sektsioonis General Settings (vt joonis 2).

Joonis 2 – Haldusliidese seaded

Kui ESXi keskkonnas kasutatakse virtuaalset tulemüüri, tuleb jaotises Üldseaded lubada hüperviisori määratud MAC-aadressi kasutamine või konfigureerida hüperviisoril tulemüüri liideses määratud MAC-aadressid või muuta virtuaalsete switchide seadeid MAC-aadresside muutmise lubamiseks. Vastasel juhul ei liigu liiklus.

Halduse liides konfigureeritakse eraldi ega kuvata võrguliideste loendis. Jaotises Management Interface Settings määratakse haldusliidese vaikevärav. Teised staatilised marsruudid konfigureeritakse virtuaalsete marsruuterite jaotises, millest kirjutatakse hiljem.

Et võimaldada seadmele juurdepääsu läbi teiste liideste, tuleb luua haldusprofiil Management Profile jaotises Network -> Network Profiles -> Interface Mgmt ja määrata see vastavale liidesele.

Seejärel tuleb konfigureerida DNS ja NTP jaotises Device -> Services rakendamiseks ja õigeaegse kuvamise tagamiseks (joonis 3). Vaikimisi kasutab kõik tulemüüri genereeritud liiklus lähte-IP aadressina haldusliidese IP aadressi. Iga konkreetse teenuse jaoks saab määrata teise liidese jaotises Teenuse marsruudikohtade seadistamine.

Joonis 3 – DNS, NTP ja süsteemsete marsruutide teenuse seaded

2. Litsentside installimine, seadistamine ja uuenduste installimine

Kõikide tulemüüri funktsioonide täieõiguslikuks kasutamiseks on vajalik litsentsi installimine. Saate kasutada prooviversiooni, taotledes seda Palo Alto Networks'i partneritelt. Selle kehtivusaeg on 30 päeva. Litsents aktiveeritakse kas faili kaudu või Auth-Codi abil. Litsentse seadistatakse jaotises Seade -> Litsentsid (joonis 4).
Pärast litsentsi installimist tuleb seadistada uuenduste installimine jaotises Seade -> Dünaamilised uuendused.
Jaotises Seade -> Tarkvara saab alla laadida ja installida uusimad PAN-OS versioonid.

Joonis 4 – Litsentside juhtpaneel

3. Turvapiirkondade, võrguliideste, liikluse poliitika ja aadresside translatsiooni seadistamine

Palo Alto Networks'i tulemüürid rakendavad võrgu reeglite seadistamisel tsoonide loogikat. Võrguliidesed määratakse kindlasse tsooni, mille alusel kasutatakse neid liiklusreeglites. Sel viisil on tulevikus, kui liideste seadistusi muudetakse, võimalik mitte muuta liiklusreegleid, vaid lihtsalt määrata vajalikud liidesed vastavatesse tsoonidesse. Vaikimisi on tsooni sees liiklus lubatud, tsoonide vahel liiklus on keelatud, selle eest vastutavad eelinstallitud reeglid. intrazone-default ja interzone-default.

Joonis 5 – Turvazonid

Antud näites määratakse sisevõrgu liides tsooni internal, samas kui Interneti suunatud liides määratakse tsooni external. SSL VPN jaoks on loodud tunneliliides, mis on määratud tsooni vpn (joonis 5).

Palo Alto Networks'i tulemüüri võrgu liidesed saavad töötada viies erinevas režiimis:

Tap – kasutatakse liikluse kogumiseks jälgimise ja analüüsi eesmärgil
HA – kasutatakse klastrite tööks
Virtual Wire – selle režiimi korral ühendab Palo Alto Networks kaks liidest ja laseb liiklusel nende vahel läbida, muutes samal ajal MAC ja IP-aadresse
Layer2 – lüliti režiim
Layer3 – ruuteri režiim

Joonis 6 – Liidese töörežiimi seadistamine

Selles näites kasutatakse Layer3 režiimi (vt joonis 6). Võrgu liidese seadetes määratakse IP-aadress, töörežiim ja vastav turvazoon. Lisaks liidese töörežiimile tuleb see määrata virtuaalsesse marsruuterisse Virtual Router, mis on analoog VRF-instance'ile Palo Alto Networks'is. Virtuaalsed marsruuterid on üksteisest isoleeritud ja neil on oma marsruutimistabelid ja võrguprotokollide seaded.

Virtuaalse marsruuteri seadetes määratakse staatilised marsruudid ja marsruudiprootokollide seaded. Selles näites on loodud ainult vaike-marsruut välistele võrkudele juurdepääsuks (vt joonis 7).

Joonis 7 – Virtuaalse marsruuteri seadistamine

Seadistamise järgmine etapp – liikluse poliitikad, jaotis Policies -> Security. Seadistamise näide on toodud joonisel 8. Reeglite töölogika on sama nagu kõigil tulemüüridel. Reeglid kontrollitakse ükshaaval ülevalt alla, kuni tekib esimene vastavus. Reeglite lühikirjeldus:

1. SSL VPN Access to Web Portal. Lubab juurdepääsu veebiportaalile kaugühenduste sertifitseerimiseks.
2. VPN-i liiklus – liikluse lubamine kaugühenduste ja peakorterite vahel
3. Basic Internet – rakenduste DNS, ping, traceroute, NTP lahendamine. TuleFirewall lubab rakendusi allkirjade, dekodeerimise ja heuristika põhjal, mitte sadamate ja protokollide numbrite alusel, seetõttu on jaotises Service märgitud application-default. Antud rakenduse vaikeport/protokoll
4. Veebipääs – interneti juurdepääsu lubamine HTTP ja HTTPS protokollide kaudu ilma rakenduste kontrollita
5,6. Vaikereeglid muu liikluse jaoks.

Joonis 8 – Näide võrgureeglite seadistamisest

NAT-i seadistamiseks kasutatakse jaotist Policies -> NAT. Näide NAT-i seadistamisest on esitatud joonisel 9.

Joonis 9 – Näide NAT-i seadistamisest

Iga liikluse puhul, mis on internal-st external-i suunas, saab muuta lähteaadressi tulekahju seina välist IP-aadressiks ja kasutada dünaamilist sadama aadressi (PAT).

4. LDAP autentimise profiili ja Kasutaja Tuvastamise funktsiooni seadistamine
Kasutajate ühendamiseks SSL-VPN-i kaudu tuleb seadistada autentimise mehhanism. Antud näites toimub autentimine Active Directory domeeni kontrolleril Palo Alto Networks veebiliidese kaudu.

Joonis 10 – LDAP profiil

Autentimise toimimiseks tuleb seadistada LDAP profiil ja Autentimise profiil. Jaotises Seade -> Serveeri profiilid -> LDAP (joon. 10) tuleks märkida domeeni kontrolleri IP-aadress ja port, LDAP tüüp ning kasutajakonto, mis kuulub rühmadesse Serverite operaatorid, Sündmuste logi lugejad, Jaotatud COM kasutajad. Seejärel salvestame jaotises Seade -> Autentimise profiil autentimise profiili (joon. 11), märkides eelnevalt loodud LDAP profiil ja vahekaardil Täiendavad märkime kasutajate rühma (joon. 12), kellele on lubatud kaugjuurdepääs. Oluline on profiilis märkida Kasutaja domeen, vastasel juhul ei tööta grupipõhine autoriseerimine. Väljas peaks olema märgitud NetBIOS domeeni nimi.

Joonis 11 – Autentimise profiil

Joonis 12 – AD grupi valik

Järgmine etapp on seadistamine Seade -> Kasutaja tuvastamine. Siin tuleb märkida domeeni kontrolleri IP-aadress, ühenduse jaoks vajalikud mandaadid ning seadistada parameetrid Luba turvalog, Luba seanss, Luba uurimine (joon. 13). Jaotises Rühma kaardistamine (joon. 14) tuleb märkida objektide tuvastamise parameetrid LDAP-is ja rühmade nimekiri, mida kasutatakse autoriseerimiseks. Nagu Autentimise profiilis, tuleb siin samuti määrata parameeter Kasutaja domeen.

Joonis 13 – Kasutaja kaardistamise parameetrid

Joonis 14 – Group Mapping seaded

Viimase sammuna sel etapil tuleb luua VPN-ala ja selle ala liides. Liidesel tuleb lubada seade Kasutaja tuvastamise lubamine (vt joonis 15).

Joonis 15 – VPN-ala seadistamine

5. SSL VPN seadistamine

Enne SSL VPN-i ühendamist peab kaugkasutaja pääsema veebiportaali, autentima end ja alla laadima Global Protecti kliendi. Järgnevalt nõuab see klient volitusi ja ühendab ettevõttevõrguga. Veebiportaal töötab https-režiimis, seetõttu on vajalik sellele sertifikaadi installimine. Kasutage publikumsertifikaati, kui see on võimalik. Sel juhul ei ilmu kasutaja jaoks teateid sertifikaadi kehtetuks tunnistamisest veebisaidil. Kui publikaserveri kasutamine ei ole võimalik, tuleb väljastada oma sertifikaat, mida rakendatakse veebilehe https-ühenduse jaoks. See võib olla iseallkirjastatud või välja antud kohaliku sertifitseerimiskeskuse kaudu. Kaugarvutis peab olema juurer või iseallkirjastatud sertifikaat usaldusväärsete juures keskuste nimekirjas, et kasutaja ei saaks ühenduse loomisel veebiportaali viga. Antud näites kasutatakse Active Directory Sertifitseerimisteenuste kaudu välja antud sertifikaati.

Sertifikaadi väljastamiseks on vaja luua sertifikaaditaotlus jaotises Seade -> Sertifikaadi haldus -> Sertifikaadid -> Genera. Märgime päringus sertifikaadi nime ja veebivahendi IP-aadressi või FQDN (vt joonis 16). Pärast päringu genereerimist laadime alla .csr faili ja kopeerime selle sisu sertifikaadi päringu välja AD CS Web Enrollment veebivormis. Sõltuvalt sertifitseerimiskeskuse seadistustest tuleb sertifikaadi päring heaks kiita ja alla laadida välja antud sertifikaat formaadis Base64 Encoded Certificate. Samuti tuleb alla laadida sertifitseerimiskeskuse juuresolek sertifikaat. Seejärel tuleb importida mõlemad sertifikaadid tulemüürile. Sertifikaadi importimisel veebivahendi jaoks tuleb eristada päring staatusega pending ja vajutada import. Sertifikaadi nimi peab ühtima varem päringus märgitud nimega. Juuresoleva sertifikaadi nime saab määrata suvaliselt. Pärast sertifikaadi importimist tuleb luua SSL/TLS Service Profile jaotises Device -> Certificate Management. Profilis märgime varem imporditud sertifikaadi.

Joonis 16 – Sertifikaadi päring

Järgmine samm – objektide seadistamine Glоbal Protect Gateway ja Global Protect Portal jaotises Network -> Global Protect. Seadistustes märgime tulemüüri väline IP-aadress ning ka varem loodud Glоbal Protect Gateway näitame välise tulemüüri IP-aadressi, samuti varem loodud SSL Profile, Autentimise profiil, tunnelli liides ja kliendi IP-seaded. Tuleb määrata IP-aadresside bassein, millest kliendile aadress määratakse, ning Access Route – need on alamvõrgud, millele kliendil marsruut on. Kui on ülesanne suunata kogu kasutaja liiklus läbi tulemüüri, tuleb märkida alamvõrk 0.0.0.0/0 (vt joonis 17).

Joonis 17 – IP-aadresside basseini ja marsruutide seadistamine

Seejärel tuleb seadistada Global Protect Portal. Määrame tulemüüri IP-aadressi, SSL Profile ja Autentimise profiil ja loendi väliste IP-aadresside tulemüüride jaoks, millega klient ühendub. Kui tulemüüre on mitu, saab igale määrata prioriteedi, mille alusel kasutajad valivad tulemüüri, millega ühenduse loovad.

Jaotises Seade -> GlobalProtect Client tuleb alla laadida VPN-kliendi distributsioon Palo Alto Networks'i serveritest ja aktiveerida see. Ühenduse loomiseks peab kasutaja minema portaali veebilehele, kus talle pakutakse alla laadida GlobalProtect Client. Pärast allalaadimist ja installimist saab ta sisestada oma kasutajatunnused ja ühenduda organisatsiooni võrguga SSL VPN kaudu.

Kokkuvõte

Sellel osal Palo Alto Networks'i seadistamisest on nüüd lõpetatud. Loodame, et teave oli kasulik ning lugeja sai ülevaate Palo Alto Networks'i kasutatavate tehnoloogiate kohta. Kui teil on küsimusi seadistamise kohta või soove tulevaste artiklite teemade osas, kirjutage need kommentaaridesse, oleme rõõmsad vastata.

Allikas: habr.com