A Palo Alto Networks tűzfalainak minden előnye ellenére az orosz nyelvű interneten nem található sok anyag e berendezések beállításáról, valamint tapasztalatokat bemutató szövegekről. Úgy döntöttünk, hogy összegyűjtjük azokat az anyagokat, amelyeket a gyártó berendezéseivel végzett munkánk során gyűjtöttünk, és elmondjuk a különböző projektek végrehajtása során felmerült sajátosságokat.
A Palo Alto Networks megismeréséhez ebben a cikkben a tűzfal SSL VPN távoli hozzáférési beállításait vizsgáljuk, amely az egyik legelterjedtebb feladat a tűzfal munkájában. Emellett beszélni fogunk a tűzfal általános beállításához, a felhasználók, alkalmazások és biztonsági politikák azonosításához szükséges kiegészítő funkciókról is. Ha a téma felkelti az olvasók érdeklődését, később anyagokat fogunk kiadni a Site-to-Site, a dinamikus irányítás és a Panorama segítségével történő központosított kezelés részletes elemzésével. VPN, dinamizált irányítás és központosított kezelés a Panorama segítségével.
A Palo Alto Networks tűzfalai számos innovatív technológiát használnak, beleértve az App-ID-t, User-ID-t és Content-ID-t. E funkciók alkalmazása magas szintű biztonságot biztosít. Például az App-ID segítségével az alkalmazások forgalmát az aláírások, dekódolás és heurisztika alapjának révén lehet azonosítani, függetlenül a használt porttól és protokolltól, beleértve az SSL-alagút belsejét is. A User-ID lehetővé teszi a hálózati felhasználók LDAP-integrációval történő azonosítását. A Content-ID lehetőséget ad a forgalom átvizsgálására és az átvitt fájlok tartalmának azonosítására. A tűzfalak egyéb funkciói közé tartozik a behatolásvédelem, a sebezhetőségekkel és DoS-támadásokkal szembeni védelem, beépített kémprogram elleni védelem, URL-szűrés, klaszterezés és központosított kezelés.
A bemutatóhoz egy elszigetelt környezetet használunk, amelynek konfigurációja valósággal egyenlő, az eszközök neve, az AD domén neve és az IP-címek kivételével. A valóságban ez bonyolultabb — rengeteg fiók lehet. Ilyen esetekben a központi helyszínek határain nem egy tűzfal, hanem egy klaszter kerül telepítésre, továbbá dinamikus irányításra is szükség lehet.
A környezetben a következő használatban van: PAN-OS 7.1.9. A tipikus konfigurációként tekintsünk egy hálózatot a Palo Alto Networks tűzfallal a határon. A tűzfal SSL VPN távoli hozzáférést biztosít a központi irodához. Felhasználói adatbázisként az Active Directory tartományát fogjuk használni (1. ábra).
1. ábra – A hálózat strukturális diagramja
A beállítás lépései:
- A készülék előkészítése. Név megadása, IP address kezelés, statikus útvonalak, adminisztrátor fiókok, kezelési profilt
- Licencelés, frissítések telepítése és beállítása
- Biztonsági zónák, hálózati interfészek, forgalom politikák, címfordítások beállítása
- LDAP hitelesítési profil és a Felhasználóazonosítás funkció beállítása
- SSL VPN konfigurálása
1. Előkészítés
A Palo Alto Networks tűzfal konfigurálásának fő eszköze a webes felület, de CLI-n keresztül is kezelhető. Alapértelmezés szerint a kezelői felület IP-címe 192.168.1.1/24, bejelentkezés: admin, jelszó: admin.
A címet megváltoztathatjuk, ha a webes felületen keresztül csatlakozunk ugyanabból a hálózatból, vagy a következő parancs használatával set deviceconfig system ip-address netmask. Ez konfigurálási módban történik. A konfigurálási módra való váltáshoz a következő parancsot használjuk configure. Minden változás a tűzfalon csak a beállítások megerősítésével történik a parancs segítségével, mind a parancssori módban, mind a webes felületen. commit, mint a parancssorbeli módban, úgy a webes interfészen is.
A webes felületen a beállítások módosításához a következő rész használható Device -> General Settings és Device -> Management Interface Settings. A név, bannerek, időzóna és egyéb beállítások a General Settings (2. ábra) szekcióban adhatók meg.
2. ábra – A kezelői interfész beállításai
Ha virtuális tűzfalat használunk ESXi környezetben, a General Settings szekcióban engedélyezni kell a hipervizor által hozzárendelt MAC-cím használatát, vagy a hipervizorban be kell állítani a tűzfal interfészein megadott MAC-címeket, vagy módosítani kell a virtuális kapcsolók beállításait a MAC-címek módosításának engedélyezésére. Ellenkező esetben a forgalom nem fog áthaladni.
A kezelői felület külön van beállítva, és nem jelenik meg a hálózati interfészek listájában. A Management Interface Settings szekcióban a kezelői interfész alapértelmezett átjárója van megadva. További statikus útvonalakat a virtuális útválasztók szekciójában kell beállítani, erről később lesz szó.
Hozzáférési profil létrehozása szükséges a készülék más interfészeken való eléréséhez. Kezelői profil a következő részben Hálózat -> Hálózati profilok -> Interface Mgmt és hozzárendelni a megfelelő interfészhez.
Ezt követően, a DNS és az NTP beállítását a következő helyen kell elvégezni: Eszköz -> Szolgáltatások a frissítések beszerzéséhez és az idő pontos megjelenítéséhez (3. ábra). Alapértelmezés szerint a tűzfal által generált összes forgalom a kezelői interfész IP-címét használja forrás IP-ként. Másik interfészt minden egyes szolgáltatáshoz a következő részen lehet hozzárendelni: Szolgáltatás útvonal konfigurálás.
3. ábra – DNS, NTP és rendszerútvonalak beállításai
2. Licencbeszerzés, beállítás és frissítések telepítése
A tűzfal összes funkciójának teljes funkcionalitásához szükséges licenc beszerzése. Próbális licencet is használhat, amelyet a Palo Alto Networks partnereitől kérhet. A próbaverzió érvényességi ideje 30 nap. A licenc aktiválható fájl vagy Auth-Code segítségével. A licencek beállítása a következő helyen történik: Eszköz -> Licenciek (4. ábra).
A licenc telepítése után a frissítések telepítését a következő helyen kell beállítani: Eszköz -> Dinamikus frissítések.
A részben Eszköz -> Szoftver új PAN-OS verziók letöltése és telepítése.
4. ábra – Licensz irányítópult
3. Biztonsági zónák, hálózati interfészek, forgalmi politika, címfordítás beállítása
A Palo Alto Networks tűzfalak a zónák logikáját alkalmazzák a hálózati szabályok beállításakor. A hálózati interfészek adott zónához rendelhetők, és ezeket a forgalmi szabályokban használják. Ez a megközelítés lehetővé teszi a jövőbeni változtatások során az interfészek megváltoztatását anélkül, hogy a forgalmi szabályokat módosítani kellene, a szükséges interfészek újra hozzárendelésével a megfelelő zónákhoz. Alapértelmezés szerint a zónán belüli forgalom engedélyezett, a zónák közötti forgalom pedig tiltható a telepített alapértelmezett szabályok által. intrazone-default és interzone-default.
5. ábra – Biztonsági zónák
Ebben a példában a belső hálózat interfésze a következő zónába van rendelve: belső, míg az Internet felé irányuló interfész a következő zónába van rendelve: külső. Az SSL VPN számára egy alagut interfész készült, amely a következő zónába van rendelve: vpn (5. ábra).
A Palo Alto Networks tűzfal hálózati interfészei öt különböző üzemmódban működhetnek:
- Tap – a forgalom gyűjtésére és elemzésére használják
- HA – a klaszter működtetésére használják
- Virtuális kábel – Ebben a módban a Palo Alto Networks két interfészt egyesít, és átláthatóan engedi át a forgalmat közöttük, anélkül, hogy megváltoztatná a MAC és IP címeket.
- Layer2 – switch mód
- Layer3 – router mód
6. ábra – Az interfész működési módjának beállítása
Ebben a példában a Layer3 módot fogjuk használni (6. ábra). A hálózati interfész beállításaiban meg kell adni az IP címet, a működési módot és a megfelelő biztonsági zónát. A működési mód mellett a virtuális routerhez is hozzá kell rendelni, amely a Palo Alto Networks-ben a VRF példányának felel meg. A virtuális routerek izoláltak egymástól, és saját routing táblákkal és hálózati protokollok beállításaival rendelkeznek.
A virtuális router beállításaiban statikus útvonalakat és routing protokollok beállításait kell megadni. Ebben a példában csak egy alapértelmezett útvonal lett létrehozva a külső hálózatokhoz való hozzáférés érdekében (7. ábra).
7. ábra – A virtuális router beállítása
A következő lépés a forgalomirányítás beállítása, a Policies -> Security. A beállítás példája a 8. ábrán látható. A szabályok működési logikája megegyezik minden tűzfallal. A szabályok felülről lefelé, az első egyezésig ellenőrzésre kerülnek. A szabályok rövid leírása:
1. SSL VPN Hozzáférés a Web Portálhoz. Lehetővé teszi a távoli kapcsolatok hitelesítésének céljából történő hozzáférést a web-portálhoz.
2. VPN forgalom – engedélyezés a távoli kapcsolatok és a központi iroda közötti forgalom számára.
3. Alapvető Internet – dns, ping, traceroute, ntp alkalmazások engedélyezése. A tűzfal az alkalmazásokat aláírások, dekódolás és heurisztika alapján engedélyezi, nem portszámok és protokollok alapján, ezért a Szolgáltatás részben application-default van megadva. Az adott alkalmazás alapértelmezett portja/protokollja.
4. Webhozzáférés – a HTTP és HTTPS protokollok internethez való hozzáférésének engedélyezése alkalmazással történő ellenőrzés nélkül.
5,6. Alapértelmezett szabályok a többi forgalomra vonatkozóan.
8. ábra — A hálózati szabályok beállításának példája
A NAT beállításához az alábbi rész használandó: Policies -> NAT. A NAT beállításának példája a 9. ábrán látható.
9. ábra – A NAT beállításának példája
Bármely forgalom esetén az internal-ból external-ba megváltoztatható a forráscímet a tűzfalszámítógép külső IP-címére, és dinamikus portcímet (PAT) használható.
4. LDAP hitelesítési profil és a Felhasználóazonosítási funkció beállítása.
A felhasználók SSL-VPN-en keresztüli csatlakoztatása előtt be kell állítani a hitelesítési mechanizmust. Ebben a példában a hitelesítés az Active Directory domain kontrollerén keresztül, a Palo Alto Networks webes felületén történik.
10. ábra – LDAP profil
A hitelesítés működéséhez be kell állítani LDAP profil és Hitelesítési profil. A Eszköz -> Szerver profilok -> LDAP (10. ábra) meg kell adni a domain kontroller IP-címét és portját, az LDAP típusát, valamint a felhasználói fiókot, amely a csoportokba tartozik. Szerver üzemeltetők, Eseménynapló Olvasók, Elosztott COM Felhasználók. Ezután a Eszköz -> Hitelesítési profil lapon létrehozzuk a hitelesítési profilt (11. ábra), megjelöljük az előzőleg létrehozottat, LDAP profil és az Advanced fülön megadjuk a felhasználói csoportot (12. ábra), akinek távoli hozzáférést engedélyezünk. Fontos megjegyezni, hogy a profilon a Felhasználói domainparamétert is be kell állítani, különben a csoporton alapuló jogosultságkezelés nem fog működni. A mezőben a NetBIOS domain névnek kell szerepelnie.
11. ábra – Hitelesítési profil
12. ábra – AD csoport kiválasztása
A következő lépés a Eszköz -> Felhasználói azonosításbeállítása. Itt meg kell adni a domain kontroller IP-címét, a csatlakozáshoz szükséges hitelesítő adatokat, valamint be kell állítani a Biztonsági napló engedélyezése, Munkamenet engedélyezése, Probing engedélyezése (13. ábra). A Csoporttérkép (14. ábra) lapon meg kell jelölni az LDAP-ban azonosítani kívánt objektumok paramétereit, valamint azokat a csoportokat, amelyeket a jogosultságkezeléshez használni fogunk. Az Authentication Profile-hoz hasonlóan itt is meg kell adni a Felhasználói domaint.
13. ábra – User Mapping paraméterek
14. ábra – Csoporttérkép paraméterek
A következő lépés ezen a szakaszon a VPN-zóna és a zónához tartozó interfész létrehozása. Az interfészen be kell kapcsolni a Felhasználói azonosítás engedélyezése (15. ábra).
15. ábra – VPN zóna beállítása
5. SSL VPN beállítása
Az SSL VPN csatlakozása előtt a távoli felhasználónak be kell lépnie a webportálra, hitelesítenie kell magát, és le kell töltenie a Global Protect kliensét. Ezt követően a kliens kérni fogja a hitelesítő adatokat és csatlakoztatja a vállalati hálózatra. A webportál HTTPS módban működik, ezért szükséges egy tanúsítvány telepítése. Használjon nyilvános tanúsítványt, ha van ilyen lehetőség. Így a felhasználónak nem lesz figyelmeztetés a tanúsítvány érvénytelenségéről a weboldalon. Ha nincs lehetőség nyilvános tanúsítvány használatára, akkor szükséges egy saját tanúsítvány kiadása, amely a weboldalon HTTPS-hez lesz alkalmazva. Ez lehet önaláírt vagy helyi tanúsítványkibocsátó általi kiadott. A távoli számítógépnek a hitelesített gyökértanúsítványnak vagy önaláírt tanúsítványnak a megbízható gyökér tanúsítványközpontok listájában kell lennie, hogy a felhasználónak ne adjon hibát a webportálhoz való csatlakozáskor. Ebben a példában egy Active Directory Tanúsítványszolgáltatással kiadott tanúsítványt fogunk használni.
A tanúsítvány kiadásához tanúsítványkérvényt kell létrehozni a következő részben Device -> Certificate Management -> Certificates -> Generate. A kérvényben megadjuk a tanúsítvány nevét és a webportál IP-címét vagy FQDN-jét (16. ábra). A kérvény generálása után le kell tölteni .csr fájlt, majd a tartalmát be kell másolni a tanúsítványkérvény mezőbe az AD CS Web Enrollment webformában. A tanúsítványkibocsátó beállításaitól függően a tanúsítványkérvényt jóvá kell hagyni, és le kell tölteni a kiadott tanúsítványt Base64 Encoded Certificate. Továbbá le kell tölteni a tanúsítványkibocsátó gyökértanúsítványát. Ezután be kell importálni mindkét tanúsítványt a tűzfalra. A webportál tanúsítványának importálásakor választani kell a pending státuszú kérvényt, és rákattintani az importálásra. A tanúsítvány nevének meg kell egyeznie az előzőleg a kérvényben megadott névvel. A gyökértanúsítvány nevének tetszőlegesnek kell lennie. A tanúsítvány importálása után létre kell hozni SSL/TLS Service Profile a következő részben Device -> Certificate Management. A profilban megadjuk az előzőleg importált tanúsítványt.
16. ábra – Tanúsítványkérés
A következő lépés az Glоbal Protect Gateway és Global Protect Portal a következő részben Network -> Global Protect. A beállításokban megadjuk a tűzfal külső IP-címét, valamint az előzőleg létrehozott Glоbal Protect Gateway SSL Profile SSL Profil, Hitelesítési profil, alagútfelület és az ügyfél IP-beállításai. Meg kell adni az IP-címek medencéjét, ahonnan az ügyfélnek cím lesz kijelölve, és az Access Route – ezek azok a alhálózatok, amelyekhez az ügyfél elérési útja tartozik. Ha az a feladat, hogy az összes felhasználói forgalmat a tűzfalon keresztül irányítsuk, akkor az alhálózatot 0.0.0.0/0-ra kell megadni (17. ábra).
17. ábra – Az IP-címek medencéjének és az útvonalak beállítása
Ezután be kell állítani Global Protect Portal. Megadjuk a tűzfalszerver IP-címét, SSL Profil és Hitelesítési profil és a tűzfalak külső IP-címek listáját, amelyekhez az ügyfél csatlakozik. Ha több tűzfal van, minden egyeshez prioritást lehet beállítani, amely alapján a felhasználók választanak tűzfalat a csatlakozáshoz.
A részben Eszköz -> GlobalProtect Client le kell tölteni a VPN-kliens csomagját a Palo Alto Networks szervereiről, és aktiválni kell. A csatlakozáshoz a felhasználónak be kell lépnie a portál weboldalára, ahol felajánlják neki a letöltést GlobalProtect Client. A letöltés és az telepítés után be lehet írni a felhasználói adatokat és csatlakozni a vállalati hálózatra SSL VPN-en keresztül.
Zárás
Ezzel befejeződik a Palo Alto Networks konfigurálásának része. Reméljük, hogy az információ hasznos volt, és az olvasó képet kapott a Palo Alto Networks által használt technológiákról. Ha kérdése van a beállítással kapcsolatban vagy javaslatai vannak a jövőbeli cikkek témáira – írja meg őket a megjegyzésekben, örömmel válaszolunk.
Forrás: habr.com
