🥇Palo Alto Networks'i seadistamise omadused: SSL VPN

Hoolimata Palo Alto Networks tulemuste kõikidest eelistest, ei ole Venemere piirkonnas palju materjale nende seadmete seadistamise kohta ega tekste, mis kirjeldaksid kogemusi nende juurutamisel. Otsustasime kokku võtta materjalid, mis on meie juures kogunenud töö käigus selle tootjaga, ja rääkida omadustest, millega oleme silmitsi seisnud erinevate projektide elluviimise ajal.

Palo Alto Networksiga tutvumiseks käsitleme selles artiklis seadistusi, mis on vajalikud üheks kõige levinumaks tulemüürimise ülesandeks – SSL VPN tekitamiseks kaugjuurdepääsuks. Samuti arutame abifunktsioone tulemüüri üldiseks seadistamiseks, kasutajate, rakenduste ja turvapoliitikate tuvastamiseks. Kui teema huvitab lugejat, avaldame tulevikus materjale Site-to-Site, VPN, dünaamilisest marsruutimisest ja kesksest haldamisest Panorama kaudu.

Palo Alto Networks tulemüürid kasutavad mitmeid uuenduslikke tehnoloogiaid, sealhulgas App-ID, User-ID, Content-ID. Selle funktsionaalsuse rakendamine võimaldab tagada kõrge turvalisuse taseme. Näiteks App-ID abil on võimalik tuvastada rakenduste liiklust allkirjade, dekodeerimise ja heuristika alusel, sõltumata kasutatavast sadamast ja protokollist, sealhulgas SSL-tunneli sees. User-ID võimaldab tuvastada võrgu kasutajaid LDAPi integreerimise kaudu. Content-ID annab võimaluse skannida liiklust ja tuvastada edastatud failid ja nende sisu. Teiste tulemüüride funktsioonide seas võib esile tuua sissetungide kaitse, haavatavuste kaitse ja DoS-rünnakute kaitse, sisseehitatud nuhkvara kaitse, URL-i filtreerimine, klasterdamine, keskne juhtimine.

Demonstratsiooni jaoks kasutame isoleeritud seista, mille konfiguratsioon on reaalsetele sarnane, välja arvatud seadmete nimed, AD domeeni nimi ja IP-aadressid. Reaalsus on keerulisem – filiaale võib olla palju. Kesksete asukohtade piiril paigaldatakse sellisel juhul ühe tulemüüri asemel klaster, samuti võib olla vajalik dünaamiline marsruutimine.

Seisundis kasutatakse PAN-OS 7.1.9. Tüüpilise konfiguratsioonina vaatleme võrku, kus on Palo Alto Networks'i tulemüür piiril. Tulemüür pakub SSL VPN-i kaugjuurdepääsu peakorterisse. Kasutajate andmebaasina kasutatakse Active Directory domeeni (joonis 1).

Joonis 1 – V võrgu struktuurne skeem

Seadmise etapid:

Seadmise eelkonfigureerimine. Nime määramine, IP-aadressid haldamine, staatilised marsruudid, administraatori kontod, halduse profiilid
Litsentside installimine, uuenduste seadistamine ja installimine
Turvavööndite, võrgu liideste, liikluspoliitikate, aadressi tõlgete seadistamine
LDAP autentimise profiili ja kasutaja identifitseerimise funktsiooni seadistamine
SSL VPN-i seadistamine

1. Eelkonfigureerimine

Palo Alto Networks'i tulemüüri seadistamise peamine tööriist on veebiliides, võimalik on ka CLI kaudu haldamine. Vaikimisi on juhtimisliidese IP-aadress määratud 192.168.1.1/24, sisse logimine: admin, parool: admin.

Aadressi saab muuta, kas üle veebiliidese samast võrgust ühendudes või käsu kaudu set deviceconfig system ip-address netmask .See käivitatakse konfigureerimisrežiimis. Konfigureerimisrežiimi üleminekuks kasutatakse käsku konfigureeri. Kõik muudatused tulemüüri seadetes toimuvad alles pärast seadistuste kinnitamist käsuga commit, nii käsureas kui ka veebiliideses.

Seadete muutmiseks veebiliideses kasutatakse jaotust Device -> General Settings ja Device -> Management Interface Settings. Nime, ribareklaamide, ajavööndite ja muude seadete määramine toimub jaotuses General Settings (joonis 2).

Joonis 2 – Halduse liidese seaded

Kui kasutatakse virtuaalset tulemüüri ESXi keskkonnas, tuleb jaotuses General Settings lubada hüperviisorile määratud MAC-aadressi kasutamine või seadistada hüperviisoris tulemüüri liidestel määratud MAC-aadressid või muuta virtuaalsete lülitite seadeid MAC-aadresside muutuste lubamiseks. Vastasel juhul ei toimu liiklus.

Juhtimisliides seadistatakse eraldi ja see ei kuvatakse võrgu liideste loendis. Jaotises Management Interface Settings määraakse juhtimisliidese vaikevärav. Teised staatilised marsruudid seadistatakse virtuaalsete marsruuterite jaotuses, millest räägitakse hiljem.

Seadistamiseks, et saavutada seadmele juurdepääs teiste liideste kaudu, tuleb luua haldusprofiil. Haldusprofiil jaotises Võrk -> Võrguprofiilid -> Liidese haldus ja määrata see vastavale liidesele.

Seejärel tuleb seadistada DNS ja NTP jaotises Seade -> Teenused uuenduste saamiseks ja õige aja kuvamiseks (vt joonis 3). Vaikimisi kasutab tulemüüri genereeritud kogu liiklus lähte IP-aadressina haldusliidese IP-aadressi. Iga konkreetse teenuse jaoks võib määrata teise liidese jaotises Teenuse marsruudi konfiguratsioon.

Joonis 3 – DNS, NTP ja süsteemimarsruutide teenuse seaded

2. Lubade paigaldamine, seadistamine ja uuenduste installimine

Tulemüüri kõigi funktsioonide täitmiseks tuleb litsents paigaldada. Proovilitsentsi saab küsida Palo Alto Networks koostööpartneritelt. Selle kehtivusaeg on 30 päeva. Litsents aktiveeritakse kas faili kaudu või Auth-Code abil. Litsentsid seadistatakse jaotises Seade -> Litsentsid (vt joonis 4).
Pärast litsentsi paigaldamist tuleb seadistada uuenduste installimine jaotises Seade -> Dünaamilised uuendused.
Jaotises Seade -> Tarkvara saab alla laadida ja installida uusi versioone PAN-OS-ist.

Joonis 4 – Litsentside juhtpaneel

3. Turvapiirkondade, võrguliideste, liik poliitikate ja aadresside ülekandmise seadistamine

Palo Alto Networks tulemüürid rakendavad võrgureeglite seadistamisel tsooniloogikat. Võrguliideseid määratakse teatud tsoonile ja seda kasutatakse liikereeglite juures. Selline lähenemine lubab tulevikus liideste seadeid muutes mitte muuta liikereegleid, vaid instead määrata vajalikke liideseid vastavatesse tsoonidesse. Vaikimisi on tsoonis lubatud siseringle, tsoonide vahel on liiklus keelatud, millega tegelevad eelnevalt seadistatud reeglid intrazone-default ja interzone-default.

Joonis 5 – Turvapiirkonnad

Antud näites on sisevõrgu liides määratud tsooni internal, ja Internetti suunatud liides on määratud tsooni external. SSL VPN-i jaoks on loodud tunneliliides, mis on määratud tsooni vpn (vt joonis 5).

Palo Alto Networks tulemüüri võrguliidesed saavad töötada viies erinevas režiimis:

Tap – kasutatakse liikluse kogumiseks jälgimiseks ja analüüsiks
HA – kasutatakse klastrite töötamiseks
Virtuaalne juhtmed – selle režiimi puhul ühendab Palo Alto Networks kaks liidest ning sujuvalt edastab nende vahelt liiklust, muutes MAC ja IP-aadresse
Layer2 – lülitirežiim
Layer3 – marsruutimisrežiim

Joonis 6 – Liidese töörežiimi seadistamine

Antud näites kasutatakse Layer3 režiimi (joon. 6). Võrguliidese parameetrites määratakse IP-aadress, töörežiim ja vastav turvapiirkond. Lisaks liidese töörežiimile tuleb see määrata virtuaalsesse marsruuterisse Virtual Router, mis on Palo Alto Networks'is VRF instantsi analoog. Virtuaalsed marsruuterid on isoleeritud üksteisest ning neil on oma marsruutimistabelid ja võrgu protokollide seadistused.

Virtuaalse marsruuteri seadetes määratakse staatilised marsruudid ja marsruudiprotokollide seadistused. Antud näites on loodud ainult vaikimisi marsruut juurdepääsuks välistele võrkudele (joonis 7).

Joonis 7 – Virtuaalse marsruuteri seadistamine

Seadistamise järgmine etapp – liikluse poliitikad, jaotis Policies -> Security. Näidis seadistustest on toodud joonisel 8. Reeglite loogika on sama, mis kõikidel tulemüüri seadmetel. Reegleid kontrollitakse ükshaaval, kuni leiate esimese vastavuse. Lühike reeglite kirjeldus:

1. SSL VPN Access to Web Portal. Lubab juurdepääsu veebipordile kaugühenduste autentimiseks.
2. VPN traffic – lubab liikluse kaugühenduste ja peakorteriga.
3. Basic Internet – lubab rakendusi dns, ping, traceroute, ntp. Tulemüür lubab rakendusi põhinedes allkirjadele, dekodeerimisele ja heuristikale, mitte portide ja protokollide numbritele, seega jaotises Service on märgitud application-default. Antud rakenduse vaikimisi port/protokoll
4. Web Access – lubab juurdepääsu internetile HTTP ja HTTPS protokollide kaudu ilma rakenduste kontrollita.
5,6. Vaikereeglid ülejäänud liiklusele.

Joonis 8 — Näidis võrgureeglite seadistusest

NAT seadistamiseks kasutatakse jaotist Policies -> NAT. NAT seadistamise näidis on toodud joonisel 9.

Joonis 9 – NAT seadistamise näidis

Iga liikluse puhul internal -> external on võimalik muuta allika aadress väliseks IP-aadressiks tulemüüris ja kasutada dünaamilist porti (PAT).

4. LDAP autentimise profiili ja kasutaja identifitseerimise funktsiooni seadistamine
Enne kasutajate ühendamist SSL-VPN-iga tuleb seadistada autentimise mehhanism. Sel juhul toimub autentimine Active Directory domeenikontrolleris Palo Alto Networks'i veebiliidese kaudu.

Joonis 10 – LDAP profiil

Kuna autentimine peab töötama, tuleb seadistada LDAP profiil ja Autentimisprofiil. Osas Seade -> Serveri profiilid -> LDAP (joon. 10) tuleb täpsustada domeenikontrolleri IP-aadress ja port, LDAP tüüp ning kasutajakonto, mis kuulub rühmadesse Serveri operaatorid, Sündmuste logi lugejad, Jaotatud COM kasutajad. Seejärel jaos Seade -> Autentimisprofiil loome autentimisprofiili (joon. 11), tähistame varem loodud LDAP profiil ja vahekaardil Täiendavad määrame kasutajate grupi (joon. 12), kellele on lubatud kaugjuurdepääs. Oluline on märkida profiilis parameeter Kasutaja domeen, vastasel juhul ei tööta rühmabasis autoriseerimine. Väljas peab olema määratud NetBIOS domeeninimi.

Joonis 11 – Autentimisprofiil

Joonis 12 – AD grupi valik

Järgmine etapp on seadistamine Seade -> Kasutaja tuvastamine. Siin tuleb määrata domeenikontrolleri IP-aadress, ühendusandmed ja seadistada parameetrid Lubage turvalog, Lubage seanss, Lubage küsitlemine (joon. 13). Jaos Grupi kaardistamine (joon. 14) tuleb märkida objekti tuvastamise parameetrid LDAP-is ja rühmade loend, mida kasutatakse autoriseerimiseks. Nagu Autentimisprofiilis, tuleb siin samuti määrata parameeter Kasutaja domeen.

Joonis 13 – Kasutaja kaardistamise parameetrid

Joonis 14 – Grupi kaardistamise parameetrid

Selle etapi viimane samm on VPN-tsooni ja selle tsooni liidese loomine. Liidese seadistus peab olema lubatud parameeter Lubage kasutaja tuvastamine (joon. 15).

Joonis 15 – VPN-tsooni seadistamine

5. SSL VPN seadistamine

Enne SSL VPN-i ühendamise alustamist peab eemalolev kasutaja sisenema veebivportaalile, autentima end ja alla laadima Global Protecti kliendi. Seejärel küsib see klient sisselogimisandmeid ja ühendab ettevõtte võrku. Veebivportaal töötab https-režiimil ning seetõttu on vajalik selle jaoks sertifikaadi loomine. Kasutage, kui võimalik, avalikku sertifikaati. Siis ei anta kasutajale hoiatust sertifikaadi kehtetuse kohta saidil. Kui avaliku sertifikaadi kasutamine pole võimalik, tuleb välja anda enda sertifikaat, mida kasutatakse veebilehe https-ühenduses. See võib olla isetõendav või välja antud kohaliku sertifitseerimiskeskuse poolt. Eemaline arvuti peab omama juured või isetõendavat sertifikaati usaldusväärsete juursertifikaatide nimekirjas, et kasutajale ei antaks viga veebivportaaliga ühendamisel. Antud näites kasutatakse sertifikaati, mis on välja antud Active Directory Sertifitseerimisteenuste sertifitseerimiskeskuse kaudu.

Sertifikaadi väljaandmiseks tuleb sertifikaaditaotlus luua jaotises Seade -> Sertifikaadi haldus -> Sertifikaadid -> Genereeri. Taotluses näidatakse sertifikaadi nime ja veebivportaalile määratud IP-aadressi või FQDN-i (vt joonis 16). Pärast taotluse genereerimist laadige alla .csr -fail ning kopeerige selle sisu AD CS veebivormis sertifikaaditaotluse väljale. Sertifitseerimiskeskuse seadistusest sõltuvalt tuleb sertifikaaditaotlus heaks kiita ja allalaadida välja antud sertifikaat formaadis Base64 kodeeritud sertifikaat. Täiendavalt tuleb alla laadida sertifitseerimiskeskuse juures sertifikaat. Seejärel tuleb mõlemad sertifikaadid importida tulemüüsse. Veebivportaali sertifikaadi importimisel tuleb valida pending olekus taotlus ja vajutada import. Sertifikaadi nimi peab vastama varem esitatud taotluses nimetatud nimele. Juurtseritifikaadi nime võib määrata meelevaldselt. Pärast sertifikaadi importimist tuleb luua SSL/TLS teenuse profiil jaotises Seade -> Sertifikaadi haldus. Profiilis näidatakse eelnevalt imporditud sertifikaati.

Joonis 16 – Sertifikaaditaotlus

Järgmine samm on objektide seadistamine Global Protect Gateway ja Global Protect Portal jaotises Võrk -> Global Protect. Seadistustes Global Protect Gateway näidatakse tulemüüri välisest IP-aadressist, samuti eelnevalt loodud SSL profiilist, Autentimisprofiil, tunneli liidese ja kliendi IP-seaded. Tuleb määrata IP-aadresside kompleks, millest määratakse aadress kliendile, ja Access Route – need on alamvõrgud, mille kaudu klient marsruudi saab. Kui on vaja suunata kogu kasutaja liiklus tulemüürü kaudu, siis tuleb märkida alamvõrk 0.0.0.0/0 (kuv. 17).

Kuvand 17 – IP-aadresside komplekside ja marsruutide seadistamine

Seejärel tuleb seadistada Global Protect Portal. Määrake tulemüüri IP-aadress, SSL profiilist ja Autentimisprofiil ja väliste tulemüüride IP-aadresside nimekiri, millega klient ühenduse loomisel liitub. Kui tulemüüre on mitu, saab igaühele määrata prioriteedi, mille alusel kasutajad valivad tulemüüri, millega ühendust luua.

Jaotises Seade -> GlobalProtect Client tuleb laadida alla Palo Alto Networks'i VPN-klientide distributsioon ja aktiveerida see. Ühenduse loomiseks peab kasutaja minema veebilehele, kus talle pakutakse allalaadimist GlobalProtect Client. Pärast allalaadimist ja installimist saab sisestada oma kasutajanime ja parooli ning ühenduda ettevõtte võrku SSL VPN-i kaudu.

Kokkuvõte

Sellega on Palo Alto Networks'i seadistamise osa lõppenud. Loodame, et teave oli kasulik ning lugeja sai ülevaate Palo Alto Networks'is kasutatavatest tehnoloogiatest. Kui teil on küsimusi seadistamise kohta või soovitusi tulevaste artiklite teemade kohta – kirjutage need kommentaarides, me oleme rõõmsad vastata.

Allikas: habr.com