ʻOiai nā mea maikaʻi a pau o nā pā ahi o Palo Alto Networks, ʻaʻohe mea nui ma ka RuNet i ka hoʻonohonoho ʻana i kēia mau mea, a me nā kikokikona e wehewehe ana i ka ʻike o kā lākou hoʻokō. Ua hoʻoholo mākou e hōʻuluʻulu i nā mea a mākou i hōʻiliʻili ai i ka wā o kā mākou hana me nā mea hana a kēia mea kūʻai aku a kamaʻilio e pili ana i nā hiʻohiʻona i loaʻa iā mākou i ka wā o ka hoʻokō ʻana i nā papahana like ʻole.
No ka hoʻolauna ʻana iā ʻoe i Palo Alto Networks, e nānā kēia ʻatikala i ka hoʻonohonoho pono e hoʻoponopono i kekahi o nā pilikia pā ahi maʻamau - SSL VPN no ke ala mamao. E kamaʻilio pū mākou e pili ana i nā hana pono no ka hoʻonohonoho pale ahi maʻamau, ka ʻike mea hoʻohana, nā noi, a me nā kulekele palekana. Inā hoihoi ke kumuhana i ka poʻe heluhelu, i ka wā e hiki mai ana e hoʻokuʻu mākou i nā mea e nānā ana i ka Site-to-Site VPN, ka hoʻokele ikaika a me ka hoʻokele kikowaena me ka hoʻohana ʻana iā Panorama.
Hoʻohana nā pā ahi o Palo Alto Networks i kekahi mau ʻenehana hou, me ka App-ID, User-ID, Content-ID. ʻO ka hoʻohana ʻana i kēia hana hiki iā ʻoe ke hōʻoia i kahi kiʻekiʻe o ka palekana. No ka laʻana, me ka App-ID hiki ke ʻike i ke kaʻa noi ma muli o nā pūlima, decoding a me nā heuristics, me ka nānā ʻole i ke awa a me ka protocol i hoʻohana ʻia, e komo pū ana i loko o kahi tunnel SSL. Hiki iā ʻoe ke ʻike i nā mea hoʻohana pūnaewele ma o ka hoʻohui ʻana o LDAP. Hiki i ka Content-ID ke hiki ke nānā i nā kaʻa a ʻike i nā faila i hoʻouna ʻia a me kā lākou ʻike. ʻO nā hana pā ahi ʻē aʻe e pili ana i ka pale intrusion, pale i nā nāwaliwali a me nā hoʻouka DoS, i kūkulu ʻia i ka anti-spyware, kānana URL, clustering, a me ka hoʻokele kikowaena.
No ka hōʻikeʻike, e hoʻohana mākou i kahi kū kaʻawale, me kahi hoʻonohonoho e like me ka mea maoli, koe naʻe nā inoa o nā hāmeʻa, inoa inoa AD a me nā helu IP. I ka ʻoiaʻiʻo, ʻoi aku ka paʻakikī o nā mea āpau - hiki ke nui nā lālā. I kēia hihia, ma kahi o ka pā ahi hoʻokahi, e hoʻokomo ʻia kahi pūʻulu ma nā palena o nā kahua kikowaena, a koi ʻia ke ala hoʻoikaika.
Hoʻohana ʻia ma ke kū PAN-OS 7.1.9. Ma ke ʻano he hoʻonohonoho maʻamau, e noʻonoʻo i kahi pūnaewele me kahi pā ahi Palo Alto Networks ma ka lihi. Hāʻawi ka pā ahi i kahi kikowaena SSL VPN mamao i ke keʻena poʻo. E hoʻohana ʻia ka waihona Active Directory ma ke ʻano he waihona mea hoʻohana (Figure 1).
Kiʻi 1 - Ke kiʻi poloka pūnaewele
Kaʻina hoʻonohonoho:
- Ka hoʻonohonoho mua ʻana o ka hāmeʻa. Ka hoʻonohonoho ʻana i ka inoa, ka IP address hoʻokele, nā ala paʻa, nā moʻokāki luna, nā ʻaoʻao hoʻokele
- Ke kau nei i nā laikini, hoʻonohonoho a hoʻokomo i nā mea hou
- Ke hoʻonohonoho nei i nā ʻāpana palekana, nā pilina pūnaewele, nā kulekele kaʻa, ka unuhi ʻōlelo
- Ke hoʻonohonoho ʻana i kahi moʻolelo hōʻoia LDAP a me kahi hiʻohiʻona ʻike mea hoʻohana
- Hoʻonohonoho i kahi SSL VPN
1. Hoʻonohonoho mua
ʻO ka mea hana nui no ka hoʻonohonoho ʻana i ka pā ahi ʻo Palo Alto Networks ʻo ia ke kikowaena pūnaewele; hiki ke hoʻokele ma o ka CLI. Ma ka paʻamau, ua hoʻonohonoho ʻia ka mana hoʻokele i ka IP address 192.168.1.1/24, komo: admin, password: admin.
Hiki iā ʻoe ke hoʻololi i ka helu wahi ma o ka hoʻopili ʻana i ke kikowaena pūnaewele mai ka pūnaewele like, a i ʻole ka hoʻohana ʻana i ke kauoha hoʻonohonoho i ka ʻōnaehana ip-address deviceconfig <> netmask <>. Hana ʻia ia ma ke ʻano hoʻonohonoho. E hoʻololi i ke ʻano hoʻonohonoho, e hoʻohana i ke kauoha hoʻonohonoho. Hoʻololi wale ʻia nā hoʻololi a pau ma ka pā ahi ma hope o ka hōʻoia ʻana o nā hoʻonohonoho e ke kauoha hana, ma ke ʻano laina kauoha a ma ke kikowaena pūnaewele.
No ka hoʻololi ʻana i nā hoʻonohonoho ma ka ʻaoʻao pūnaewele, e hoʻohana i ka ʻāpana Mea hoʻonohonoho -> Nā ʻōkuhi maʻamau a me nā hāmeʻa -> Nā hoʻonohonoho hoʻonohonoho hoʻokele. Hiki ke hoʻonohonoho ʻia ka inoa, nā hae, ka ʻāpana manawa a me nā hoʻonohonoho ʻē aʻe ma ka ʻāpana General Settings (Fig. 2).
Kiʻi 2 - Nā palena hoʻokele hoʻokele
Inā ʻoe e hoʻohana i kahi pā ahi virtual i kahi kaiapuni ESXi, ma ka ʻāpana General Settings pono ʻoe e ʻae i ka hoʻohana ʻana i ka helu MAC i hāʻawi ʻia e ka hypervisor, a i ʻole e hoʻonohonoho i nā helu MAC i kuhikuhi ʻia ma nā pā ahi ma ka hypervisor, a i ʻole e hoʻololi i nā hoʻonohonoho o nā hoʻololi virtual e ʻae i nā helu hoʻololi MAC. A i ʻole, ʻaʻole e hele nā kaʻa.
Hoʻonohonoho kaʻawale ʻia ka ʻaoʻao hoʻokele a ʻaʻole i hōʻike ʻia ma ka papa inoa o nā kikowaena pūnaewele. Ma ka mokuna Nā hoʻonohonoho hoʻonohonoho hoʻokele kuhikuhi i ka ʻīpuka paʻamau no ke kikowaena hoʻokele. Hoʻonohonoho ʻia nā ala static ʻē aʻe ma ka ʻāpana routers virtual; e kūkākūkā ʻia kēia ma hope.
No ka ʻae ʻana i ke komo ʻana i ka hāmeʻa ma o nā pilina ʻē aʻe, pono ʻoe e hana i kahi ʻaoʻao hoʻokele Palapala Hooponopono ma ka ʻāpana Pūnaehana -> Pūnaewele Pūnaewele -> Interface Mgmt a hāʻawi iā ia i ka interface kūpono.
A laila, pono ʻoe e hoʻonohonoho i ka DNS a me NTP ma ka ʻāpana Mea Hana -> Nā lawelawe e loaʻa nā mea hou a hōʻike pololei i ka manawa (Fig. 3). Ma ka maʻamau, hoʻohana nā kaʻa āpau i hana ʻia e ka pā ahi i ka IP address interface hoʻokele e like me kona kumu IP address. Hiki iā ʻoe ke hāʻawi i kahi kikowaena ʻokoʻa no kēlā me kēia lawelawe kikoʻī ma ka ʻāpana Hoʻonohonoho alanui lawelawe.
Kiʻi 3 - DNS, NTP a me nā ʻāpana lawelawe ala ala
2. Hoʻokomo i nā laikini, hoʻonohonoho a hoʻokomo i nā mea hou
No ka holo piha ʻana o nā hana pā ahi āpau, pono ʻoe e hoʻokomo i kahi laikini. Hiki iā ʻoe ke hoʻohana i ka laikini hoʻāʻo ma ke noi ʻana iā ia mai nā hoa Palo Alto Networks. ʻO 30 lā kona manawa kūpono. Hoʻohana ʻia ka laikini ma o kahi faila a i ʻole ka hoʻohana ʻana i ka Auth-Code. Hoʻonohonoho ʻia nā laikini ma ka ʻāpana Mea Hana -> Nā Laikini (fig. 4).
Ma hope o ka hoʻokomo ʻana i ka laikini, pono ʻoe e hoʻonohonoho i ka hoʻonohonoho ʻana o nā mea hou i ka ʻāpana Mea Hana -> Nā Hou Hou.
pauku Mea Hana -> Pūnaehana hiki iā ʻoe ke hoʻoiho a hoʻokomo i nā mana hou o PAN-OS.
Kiʻi 4 - Papa hoʻomalu laikini
3. Ka hoʻonohonoho ʻana i nā ʻāpana palekana, nā pilina pūnaewele, nā kulekele kaʻa, ka unuhi ʻōlelo
Ke hoʻohana nei nā pā ahi o Palo Alto Networks i ka loiloi zone i ka hoʻonohonoho ʻana i nā lula pūnaewele. Hāʻawi ʻia nā kikowaena pūnaewele i kahi ʻāpana kikoʻī, a hoʻohana ʻia kēia ʻāpana i nā lula kaʻa. ʻO kēia ala e hiki ai i ka wā e hiki mai ana, i ka wā e hoʻololi ai i nā hoʻonohonoho interface, ʻaʻole e hoʻololi i nā lula kaʻa, akā e hoʻihoʻi hou i nā pilina kūpono i nā ʻāpana kūpono. Ma ka maʻamau, ʻae ʻia ke kaʻa i loko o kahi ʻāpana, pāpā ʻia ke kaʻa ʻana ma waena o nā ʻāpana, nā lula i koho mua ʻia no kēia intrazone-paʻamau и interzone-default.
Kiʻi 5 - Nā ʻāpana palekana
Ma kēia hiʻohiʻona, hāʻawi ʻia kahi interface ma ka pūnaewele kūloko i ka ʻāpana i loko, a ua hāʻawi ʻia ke kikowaena e kū pono ana i ka Pūnaewele i ka ʻāpana mawaho. No SSL VPN, ua hana ʻia a hāʻawi ʻia i kahi kikowaena tunnel i ka ʻāpana vpn (fig. 5).
Hiki ke hoʻohana ʻia nā pānaehana pā ahi ʻo Palo Alto Networks i ʻelima mau ʻano ʻokoʻa:
- piula wai - hoʻohana ʻia e hōʻiliʻili i nā kaʻa no ka nānā ʻana a me ka nānā ʻana
- HA - hoʻohana ʻia no ka hana hui
- Uea Pilikino - ma kēia ʻano, hoʻohui ʻo Palo Alto Networks i ʻelua mau kikowaena a hoʻoheheʻe ʻia i ke kaʻa ma waena o lākou me ka ʻole e hoʻololi i nā helu MAC a me IP.
- Laina2 – hoʻololi i ke ʻano
- Laina3 – ke ʻano mea hoʻokele
Kiʻi 6 - Hoʻonohonoho i ke ʻano hana hana
Ma kēia laʻana, e hoʻohana ʻia ke ʻano Layer3 (Fig. 6). Hōʻike nā ʻāpana kikowaena pūnaewele i ka helu IP, ke ʻano hana a me ka wahi palekana e pili ana. Ma kahi o ke ʻano hana o ka interface, pono ʻoe e hāʻawi iā ia i ka Virtual Router virtual router, he ʻano like kēia o kahi hiʻohiʻona VRF ma Palo Alto Networks. Hoʻokaʻawale ʻia nā mea hoʻokele virtual mai kekahi i kekahi a loaʻa i kā lākou papa kuhikuhi ponoʻī a me nā hoʻonohonoho protocol network.
Hōʻike nā hoʻonohonoho mea hoʻonohonoho virtual router i nā ala paʻa a me nā hoʻonohonoho protocol routing. Ma kēia laʻana, ua hana ʻia kahi ala paʻamau no ke komo ʻana i nā pūnaewele waho (Fig. 7).
Kiʻi 7 - Ke hoʻonohonoho ʻana i kahi router virtual
ʻO ka pae hoʻonohonoho hou e pili ana i nā kulekele kaʻa, ʻāpana Kulekele -> Palekana. Hōʻike ʻia kahi hiʻohiʻona o ka hoʻonohonoho ʻana ma ka Figure 8. ʻO ka loiloi o nā lula e like me nā pā ahi āpau. Nānā ʻia nā lula mai luna a lalo, a hiki i ka pāʻani mua. ʻO ka wehewehe pōkole o nā lula:
1. SSL VPN Loaʻa i ka Pūnaewele Pūnaewele. Hāʻawi i ke komo i ka puka pūnaewele e hōʻoia i nā pili mamao
2. VPN kaʻa - e ʻae i ke kaʻa ma waena o nā pili mamao a me ke keʻena poʻo
3. Pūnaewele Pūnaewele - e ʻae i nā noi dns, ping, traceroute, ntp. Hāʻawi ka pā ahi i nā noi e pili ana i nā pūlima, decoding, a me nā heuristic ma mua o nā helu port a me nā protocols, ʻo ia ke kumu i ʻōlelo ai ka ʻāpana Service application-default. awa paʻamau/protocol no kēia noi
4. Loaʻa Pūnaewele - e ʻae ana i ka Internet ma o nā protocol HTTP a me HTTPS me ka ʻole o ka mana noi
5,6. Nā lula paʻamau no nā kaʻa ʻē aʻe.
Kiʻi 8 - Ka laʻana o ka hoʻonohonoho ʻana i nā lula pūnaewele
No ka hoʻonohonoho ʻana iā NAT, e hoʻohana i ka ʻāpana Nā kulekele -> NAT. Hōʻike ʻia kahi hiʻohiʻona o ka hoʻonohonoho NAT ma ke Kiʻi 9.
Kiʻi 9 - Ka laʻana o ka hoʻonohonoho NAT
No kēlā me kēia kaʻa mai loko a i waho, hiki iā ʻoe ke hoʻololi i ka helu kumu i ka IP address waho o ka pā ahi a hoʻohana i kahi helu port dynamic (PAT).
4. Ka hoʻonohonoho ʻana i ka LDAP Authentication Profile a me ka hana ʻike mea hoʻohana
Ma mua o ka hoʻopili ʻana i nā mea hoʻohana ma o SSL-VPN, pono ʻoe e hoʻonohonoho i kahi mīkini hōʻoia. Ma kēia laʻana, e loaʻa ka hōʻoia ʻana i ka mea hoʻoponopono domain Active Directory ma o ka pānaewele pūnaewele ʻo Palo Alto Networks.
Kiʻi 10 – LDAP profile
No ka hana ʻana i ka hōʻoia, pono ʻoe e hoʻonohonoho Palapala LDAP и Palapala Hōʻoia. ^ E Ha yM. Ma ka ʻāpana Mea hoʻohana -> Nā Pūnaewele Pūnaewele -> LDAP (Fig. 10) pono ʻoe e kuhikuhi i ka IP address a me ke awa o ka mea hoʻokele domain, ʻano LDAP a me ka moʻokāki mea hoʻohana i komo i nā hui. Nā mea hoʻohana kikowaena, Heluhelu mooolelo hanana, Hoʻolaha ʻia nā mea hoʻohana COM. A laila ma ka ʻāpana Mea Hana -> Hōʻoiaʻiʻo Profile e hana i kahi palapala hōʻoia (Fig. 11), e kaha i ka mea i hana mua ʻia Palapala LDAP a ma ka ʻaoʻao Advanced hōʻike mākou i ka hui o nā mea hoʻohana (Fig. 12) i ʻae ʻia i kahi mamao. He mea nui e hoʻomaopopo i ka ʻāpana i kāu ʻaoʻao Mea hoʻohana Domain, inā ʻaʻole, ʻaʻole e holo ka mana o ka hui. Pono ke kahua e hōʻike i ka inoa kikowaena NetBIOS.
Kiʻi 11 - Hōʻoia hōʻoia
Kiʻi 12 - koho pūʻulu AD
ʻO ka pae aʻe ka hoʻonohonoho Mea Hana -> ʻIke Mea hoʻohana. Maanei pono ʻoe e kuhikuhi i ka IP address o ka mea hoʻokele domain, nā hōʻoia pili, a hoʻonohonoho pū i nā hoʻonohonoho E ho'ā i ka moʻolelo palekana, E ho'ā i ke Kau, E ho'ā i ka Probing (Fig. 13). Ma ka mokuna Palapala ʻĀina Hui (Fig. 14) pono ʻoe e nānā i nā ʻāpana no ka ʻike ʻana i nā mea ma LDAP a me ka papa inoa o nā pūʻulu e hoʻohana ʻia no ka ʻae. E like me ka Authentication Profile, pono ʻoe e hoʻonohonoho i ka mea hoʻohana Domain parameter.
Kiʻi 13 - Nā palena palapala mea hoʻohana
Kiʻi 14 - Nā ʻāpana palapala ʻāina hui
ʻO ka hana hope loa i kēia māhele, ʻo ia ka hana ʻana i kahi VPN a me kahi interface no kēlā wahi. Pono ʻoe e ʻae i ke koho ma ka interface E hoʻā i ka mea hoʻohana ʻike (fig. 15).
Kiʻi 15 - Hoʻonohonoho i kahi wahi VPN
5. Hoʻonohonoho SSL VPN
Ma mua o ka hoʻopili ʻana i kahi SSL VPN, pono ka mea hoʻohana mamao e hele i ka puka pūnaewele, hōʻoia a hoʻoiho i ka mea kūʻai aku Global Protect. A laila, e noi kēia mea kūʻai aku i nā hōʻoia a hoʻopili i ka pūnaewele hui. Ke hana nei ka pūnaewele pūnaewele ma ke ʻano https a, no laila, pono ʻoe e kau i kahi palapala hōʻoia no ia. E hoʻohana i ka palapala hōʻoia lehulehu inā hiki. A laila ʻaʻole e loaʻa i ka mea hoʻohana kahi ʻōlelo aʻo e pili ana i ka pono ʻole o ka palapala hōʻoia ma ka pūnaewele. Inā ʻaʻole hiki ke hoʻohana i kahi palapala hōʻoia lehulehu, pono ʻoe e hoʻopuka i kāu ponoʻī, e hoʻohana ʻia ma ka ʻaoʻao pūnaewele no https. Hiki ke hoʻopaʻa inoa ʻia a hoʻopuka ʻia ma o ka mana palapala kūloko. Pono e loaʻa i ka kamepiula mamao ke kumu a i ʻole ka palapala hōʻoia iā ia iho i ka papa inoa o nā mana kumu hilinaʻi i ʻole e loaʻa i ka mea hoʻohana kahi hewa i ka wā e hoʻopili ai i ka puka pūnaewele. E hoʻohana ana kēia hiʻohiʻona i kahi palapala i hāʻawi ʻia ma o Active Directory Certificate Services.
No ka hoʻopuka ʻana i kahi palapala hōʻoia, pono ʻoe e hana i kahi palapala noi palapala ma ka ʻāpana Mea hoʻohana -> Hoʻokele palapala -> Nā palapala hōʻoia -> Hana. Ma ka noi e hōʻike mākou i ka inoa o ka palapala hōʻoia a me ka IP address a i ʻole FQDN o ka puka pūnaewele (Fig. 16). Ma hope o ka hana ʻana i ka noi, hoʻoiho .csr faila a kope i kāna mau mea i loko o ka palapala noi palapala ma ka palapala pūnaewele AD CS Web Enrollment. Ma muli o ke ʻano o ka hoʻonohonoho ʻana o ka mana palapala, pono e ʻae ʻia ka palapala noi palapala a pono e hoʻoiho ʻia ka palapala i hoʻopuka ʻia ma ke ʻano. Base64 Palapala Hoʻopili. Eia hou, pono ʻoe e hoʻoiho i ka palapala kumu o ka mana hōʻoia. A laila pono ʻoe e hoʻokomo i nā palapala ʻelua i ka pā ahi. I ka lawe ʻana mai i kahi palapala hōʻoia no kahi puka pūnaewele, pono ʻoe e koho i ka noi ma ke kūlana e kali nei a kaomi i ka import. Pono ka inoa palapala e like me ka inoa i kuhikuhi ʻia ma mua o ka noi. Hiki ke kuhikuhi ʻia ka inoa o ka palapala kumu. Ma hope o ka lawe ʻana i ka palapala hōʻoia, pono ʻoe e hana SSL/TLS Service Profile ma ka ʻāpana Mea Hana -> Hoʻokele Palapala. Ma ka ʻaoʻao, hōʻike mākou i ka palapala i lawe mua ʻia.
Kiʻi 16 - Noi palapala
ʻO ka hana aʻe e hoʻonohonoho i nā mea ʻO ka puka makani pale honua и Puka Palekana honua ma ka ʻāpana Pūnaewele -> Mālama honua... Ma nā hoʻonohonoho ʻO ka puka makani pale honua hōʻike i ka helu IP waho o ka pā ahi, a me ka mea i hana mua ʻia Palapala SSL, Palapala Hōʻoia, ke kikowaena tunnel a me nā hoʻonohonoho IP mea kūʻai aku. Pono ʻoe e kuhikuhi i kahi wai o nā IP address kahi e hāʻawi ʻia ai ka helu wahi i ka mea kūʻai aku, a me ke Alahele Access - ʻo ia nā subnets e loaʻa ai i ka mea kūʻai ke ala. Inā ʻo ka hana ka hoʻopili ʻana i nā mea hoʻohana a pau ma o kahi pā ahi, a laila pono ʻoe e kuhikuhi i ka subnet 0.0.0.0/0 (Fig. 17).
Kiʻi 17 - Ka hoʻonohonoho ʻana i kahi wai o nā helu IP a me nā ala
A laila pono ʻoe e hoʻonohonoho Puka Palekana honua. E wehewehe i ka helu IP o ka pā ahi, Palapala SSL и Palapala Hōʻoia a me kahi papa inoa o nā wahi IP waho o nā pā ahi kahi e hoʻopili ai ka mea kūʻai aku. Inā nui nā pā ahi, hiki iā ʻoe ke hoʻonohonoho i kahi mea nui no kēlā me kēia, e like me ka mea e koho ai nā mea hoʻohana i kahi pā ahi e hoʻopili ai.
pauku Mea Hana -> GlobalProtect Client Pono ʻoe e hoʻoiho i ka hāʻawi ʻana i ka mea kūʻai aku VPN mai nā kikowaena Palo Alto Networks a hoʻā. No ka hoʻohui ʻana, pono ka mea hoʻohana e hele i ka ʻaoʻao pūnaewele portal, kahi e noi ʻia ai e hoʻoiho GlobalProtect mea kūʻai. Ke hoʻoiho ʻia a hoʻokomo ʻia, hiki iā ʻoe ke hoʻokomo i kāu mau hōʻoia a hoʻopili i kāu pūnaewele hui ma o SSL VPN.
hopena
Hoʻopau kēia i ka ʻāpana Palo Alto Networks o ka hoʻonohonoho. Manaʻo mākou ua pono ka ʻike a ua loaʻa i ka mea heluhelu ka ʻike i nā ʻenehana i hoʻohana ʻia ma Palo Alto Networks. Inā he mau nīnau kāu e pili ana i ka hoʻonohonoho a me nā manaʻo e pili ana i nā kumuhana no nā ʻatikala e hiki mai ana, e kākau iā lākou i loko o nā manaʻo, e hauʻoli mākou e pane.
Source: www.habr.com