{"id":32126,"date":"2019-10-31T21:45:18","date_gmt":"2019-10-31T18:45:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn\/"},"modified":"2019-10-31T21:45:18","modified_gmt":"2019-10-31T18:45:18","slug":"osobennosti-nastrojki-palo-alto-networks-ssl-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn","title":{"rendered":"Palo Alto Networks'i seadistamise omadused: SSL VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Palo
\n
\nHoolimata Palo Alto Networks tulemuste k\u00f5ikidest eelistest, ei ole Venemere piirkonnas palju materjale nende seadmete seadistamise kohta ega tekste, mis kirjeldaksid kogemusi nende juurutamisel. Otsustasime kokku v\u00f5tta materjalid, mis on meie juures kogunenud t\u00f6\u00f6 k\u00e4igus selle tootjaga, ja r\u00e4\u00e4kida omadustest, millega oleme silmitsi seisnud erinevate projektide elluviimise ajal. <\/p>\n

Palo Alto Networksiga tutvumiseks k\u00e4sitleme selles artiklis seadistusi, mis on vajalikud \u00fcheks k\u00f5ige levinumaks tulem\u00fc\u00fcrimise \u00fclesandeks \u2013 SSL VPN tekitamiseks kaugjuurdep\u00e4\u00e4suks. Samuti arutame abifunktsioone tulem\u00fc\u00fcri \u00fcldiseks seadistamiseks, kasutajate, rakenduste ja turvapoliitikate tuvastamiseks. Kui teema huvitab lugejat, avaldame tulevikus materjale Site-to-Site, VPN<\/a>, d\u00fcnaamilisest marsruutimisest ja kesksest haldamisest Panorama kaudu.
\n<\/a><\/noindex>
\nPalo Alto Networks tulem\u00fc\u00fcrid kasutavad mitmeid uuenduslikke tehnoloogiaid, sealhulgas App-ID, User-ID, Content-ID. Selle funktsionaalsuse rakendamine v\u00f5imaldab tagada k\u00f5rge turvalisuse taseme. N\u00e4iteks App-ID abil on v\u00f5imalik tuvastada rakenduste liiklust allkirjade, dekodeerimise ja heuristika alusel, s\u00f5ltumata kasutatavast sadamast ja protokollist, sealhulgas SSL-tunneli sees. User-ID v\u00f5imaldab tuvastada v\u00f5rgu kasutajaid LDAPi integreerimise kaudu. Content-ID annab v\u00f5imaluse skannida liiklust ja tuvastada edastatud failid ja nende sisu. Teiste tulem\u00fc\u00fcride funktsioonide seas v\u00f5ib esile tuua sissetungide kaitse, haavatavuste kaitse ja DoS-r\u00fcnnakute kaitse, sisseehitatud nuhkvara kaitse, URL-i filtreerimine, klasterdamine, keskne juhtimine.<\/p>\n

Demonstratsiooni jaoks kasutame isoleeritud seista, mille konfiguratsioon on reaalsetele sarnane, v\u00e4lja arvatud seadmete nimed, AD domeeni nimi ja IP-aadressid. Reaalsus on keerulisem \u2013 filiaale v\u00f5ib olla palju. Kesksete asukohtade piiril paigaldatakse sellisel juhul \u00fche tulem\u00fc\u00fcri asemel klaster, samuti v\u00f5ib olla vajalik d\u00fcnaamiline marsruutimine.<\/p>\n

Seisundis kasutatakse PAN-OS 7.1.9<\/b>. T\u00fc\u00fcpilise konfiguratsioonina vaatleme v\u00f5rku, kus on Palo Alto Networks'i tulem\u00fc\u00fcr piiril. Tulem\u00fc\u00fcr pakub SSL VPN-i kaugjuurdep\u00e4\u00e4su peakorterisse. Kasutajate andmebaasina kasutatakse Active Directory domeeni (joonis 1).<\/p>\n

\"Palo
\nJoonis 1 \u2013 V v\u00f5rgu struktuurne skeem<\/i><\/p>\n

Seadmise etapid:<\/p>\n

    \n
  1. Seadmise eelkonfigureerimine. Nime m\u00e4\u00e4ramine, IP-aadressid<\/a> haldamine, staatilised marsruudid, administraatori kontod, halduse profiilid<\/li>\n
  2. Litsentside installimine, uuenduste seadistamine ja installimine<\/li>\n
  3. Turvav\u00f6\u00f6ndite, v\u00f5rgu liideste, liikluspoliitikate, aadressi t\u00f5lgete seadistamine<\/li>\n
  4. LDAP autentimise profiili ja kasutaja identifitseerimise funktsiooni seadistamine<\/li>\n
  5. SSL VPN-i seadistamine<\/li>\n<\/ol>\n

    <\/p>\n

    1. Eelkonfigureerimine<\/h4>\n

    \nPalo Alto Networks'i tulem\u00fc\u00fcri seadistamise peamine t\u00f6\u00f6riist on veebiliides, v\u00f5imalik on ka CLI kaudu haldamine. Vaikimisi on juhtimisliidese IP-aadress m\u00e4\u00e4ratud 192.168.1.1\/24, sisse logimine: admin, parool: admin. <\/p>\n

    Aadressi saab muuta, kas \u00fcle veebiliidese samast v\u00f5rgust \u00fchendudes v\u00f5i k\u00e4su kaudu set deviceconfig system ip-address netmask .<\/b>See k\u00e4ivitatakse konfigureerimisre\u017eiimis. Konfigureerimisre\u017eiimi \u00fcleminekuks kasutatakse k\u00e4sku konfigureeri<\/b>. K\u00f5ik muudatused tulem\u00fc\u00fcri seadetes toimuvad alles p\u00e4rast seadistuste kinnitamist k\u00e4suga commit<\/b>, nii k\u00e4sureas kui ka veebiliideses.<\/p>\n

    Seadete muutmiseks veebiliideses kasutatakse jaotust Device -> General Settings ja Device -> Management Interface Settings.<\/b> Nime, ribareklaamide, ajav\u00f6\u00f6ndite ja muude seadete m\u00e4\u00e4ramine toimub jaotuses General Settings (joonis 2).<\/p>\n

    \"Palo
    \nJoonis 2 \u2013 Halduse liidese seaded<\/i><\/p>\n

    Kui kasutatakse virtuaalset tulem\u00fc\u00fcri ESXi keskkonnas, tuleb jaotuses General Settings lubada h\u00fcperviisorile m\u00e4\u00e4ratud MAC-aadressi kasutamine v\u00f5i seadistada h\u00fcperviisoris tulem\u00fc\u00fcri liidestel m\u00e4\u00e4ratud MAC-aadressid v\u00f5i muuta virtuaalsete l\u00fclitite seadeid MAC-aadresside muutuste lubamiseks. Vastasel juhul ei toimu liiklus.<\/p>\n

    Juhtimisliides seadistatakse eraldi ja see ei kuvatakse v\u00f5rgu liideste loendis. Jaotises Management Interface Settings<\/b> m\u00e4\u00e4raakse juhtimisliidese vaikev\u00e4rav. Teised staatilised marsruudid seadistatakse virtuaalsete marsruuterite jaotuses, millest r\u00e4\u00e4gitakse hiljem. <\/p>\n

    Seadistamiseks, et saavutada seadmele juurdep\u00e4\u00e4s teiste liideste kaudu, tuleb luua haldusprofiil. Haldusprofiil<\/b> jaotises V\u00f5rk -> V\u00f5rguprofiilid -> Liidese haldus<\/b> ja m\u00e4\u00e4rata see vastavale liidesele. <\/p>\n

    Seej\u00e4rel tuleb seadistada DNS ja NTP jaotises Seade -> Teenused<\/b> uuenduste saamiseks ja \u00f5ige aja kuvamiseks (vt joonis 3). Vaikimisi kasutab tulem\u00fc\u00fcri genereeritud kogu liiklus l\u00e4hte IP-aadressina haldusliidese IP-aadressi. Iga konkreetse teenuse jaoks v\u00f5ib m\u00e4\u00e4rata teise liidese jaotises Teenuse marsruudi konfiguratsioon<\/b>.<\/p>\n

    \"Palo
    \nJoonis 3 \u2013 DNS, NTP ja s\u00fcsteemimarsruutide teenuse seaded<\/i><\/p>\n

    2. Lubade paigaldamine, seadistamine ja uuenduste installimine<\/h4>\n

    \nTulem\u00fc\u00fcri k\u00f5igi funktsioonide t\u00e4itmiseks tuleb litsents paigaldada. Proovilitsentsi saab k\u00fcsida Palo Alto Networks koost\u00f6\u00f6partneritelt. Selle kehtivusaeg on 30 p\u00e4eva. Litsents aktiveeritakse kas faili kaudu v\u00f5i Auth-Code abil. Litsentsid seadistatakse jaotises Seade -> Litsentsid<\/b> (vt joonis 4).
    \nP\u00e4rast litsentsi paigaldamist tuleb seadistada uuenduste installimine jaotises Seade -> D\u00fcnaamilised uuendused<\/b>.
    \nJaotises Seade -> Tarkvara<\/b> saab alla laadida ja installida uusi versioone PAN-OS-ist.<\/p>\n

    \"Palo
    \nJoonis 4 \u2013 Litsentside juhtpaneel<\/i><\/p>\n

    3. Turvapiirkondade, v\u00f5rguliideste, liik poliitikate ja aadresside \u00fclekandmise seadistamine<\/h4>\n

    \nPalo Alto Networks tulem\u00fc\u00fcrid rakendavad v\u00f5rgureeglite seadistamisel tsooniloogikat. V\u00f5rguliideseid m\u00e4\u00e4ratakse teatud tsoonile ja seda kasutatakse liikereeglite juures. Selline l\u00e4henemine lubab tulevikus liideste seadeid muutes mitte muuta liikereegleid, vaid instead m\u00e4\u00e4rata vajalikke liideseid vastavatesse tsoonidesse. Vaikimisi on tsoonis lubatud siseringle, tsoonide vahel on liiklus keelatud, millega tegelevad eelnevalt seadistatud reeglid intrazone-default<\/b> ja interzone-default<\/b>.<\/p>\n

    \"Palo
    \nJoonis 5 \u2013 Turvapiirkonnad<\/i><\/p>\n

    Antud n\u00e4ites on sisev\u00f5rgu liides m\u00e4\u00e4ratud tsooni internal<\/b>, ja Internetti suunatud liides on m\u00e4\u00e4ratud tsooni external<\/b>. SSL VPN-i jaoks on loodud tunneliliides, mis on m\u00e4\u00e4ratud tsooni vpn <\/b>(vt joonis 5).<\/p>\n

    Palo Alto Networks tulem\u00fc\u00fcri v\u00f5rguliidesed saavad t\u00f6\u00f6tada viies erinevas re\u017eiimis:<\/p>\n