Nonostante tutti i vantaggi dei firewall di Palo Alto Networks, ci sono pochi materiali disponibili in rete russa sulla configurazione di questi dispositivi e sull'esperienza di implementazione. Abbiamo deciso di riassumere i materiali accumulati durante il nostro lavoro con l'hardware di questo fornitore e di parlare delle peculiarità che abbiamo incontrato nell'attuazione di vari progetti.
Per familiarizzare con Palo Alto Networks, in questo articolo verranno esaminate le impostazioni necessarie per risolvere uno dei problemi più comuni del firewalling: SSL VPN per l'accesso remoto. Parleremo anche di funzioni ausiliarie per la configurazione generale del firewall, identificazione degli utenti, delle applicazioni e delle politiche di sicurezza. Se l'argomento susciterà interesse, in futuro pubblicheremo materiali sul Site-to-Site, la routing dinamico e la gestione centralizzata tramite Panorama. VPN, routing dinamico e gestione centralizzata tramite Panorama.
I firewall Palo Alto Networks utilizzano una serie di tecnologie innovative, tra cui App-ID, User-ID e Content-ID. L'implementazione di queste funzionalità garantisce un elevato livello di sicurezza. Ad esempio, grazie a App-ID è possibile identificare il traffico delle applicazioni in base a firme, decodifica ed euristica, indipendentemente dalla porta e dal protocollo utilizzati, anche all'interno di un tunnel SSL. User-ID consente di identificare gli utenti della rete tramite integrazione con LDAP. Content-ID offre la possibilità di esaminare il traffico e identificare i file trasmessi e il loro contenuto. Tra le altre funzionalità dei firewall, si possono citare la protezione da intrusioni, la protezione da vulnerabilità e attacchi DoS, un anti-spyware integrato, il filtering degli URL, la clustering e la gestione centralizzata.
Per la demo utilizzeremo un ambiente isolato, con una configurazione simile a quella reale, eccetto per i nomi dei dispositivi, il nome del dominio AD e gli indirizzi IP. Nella realtà è più complesso: potrebbero esserci molte filiali. In tal caso, invece di un singolo firewall, sarà installato un cluster all'estrema periferia delle sedi centrali e potrebbe anche essere necessaria la routing dinamica.
Nell'ambiente viene utilizzato PAN-OS 7.1.9. Consideriamo una configurazione tipica con un firewall Palo Alto Networks al confine. Il firewall fornisce accesso remoto SSL VPN alla sede centrale. Come database utenti verrà utilizzato un dominio Active Directory (Figura 1).
Figura 1 – Schema di rete
Fasi di configurazione:
- Pre-configurazione del dispositivo. Assegnazione del nome, Indirizzi IP gestione, rotte statiche, account amministratori, profili di gestione
- Installazione delle licenze, configurazione e installazione degli aggiornamenti
- Impostazione delle zone di sicurezza, interfacce di rete, politiche di traffico, traduzione degli indirizzi
- Configurazione del profilo di autenticazione LDAP e della funzione di identificazione utente
- Configurazione della SSL VPN
1. Pre-configurazione
Lo strumento principale per configurare il firewall Palo Alto Networks è l'interfaccia web, ma è possibile anche gestirlo tramite CLI. Di default, l'interfaccia di management ha l'indirizzo IP 192.168.1.1/24, login: admin, password: admin.
È possibile cambiare l'indirizzo collegandosi all'interfaccia web dalla stessa rete oppure usando il comando set deviceconfig system ip-address netmask. Questo comando viene eseguito in modalità di configurazione. Per passare alla modalità di configurazione si utilizza il comando configure. Tutte le modifiche al firewall vengono effettivamente applicate solo dopo la conferma delle impostazioni con il comando commit, sia in modalità a riga di comando che nell'interfaccia web.
Per modificare le impostazioni nell'interfaccia web, si utilizza la sezione Device -> General Settings e Device -> Management Interface Settings. Il nome, i banner, il fuso orario e altre impostazioni possono essere definiti nella sezione General Settings (fig. 2).
Fig. 2 – Opzioni dell'interfaccia di gestione
Se viene utilizzato un firewall virtuale nell'ambiente ESXi, nella sezione Impostazioni Generali è necessario abilitare l'uso dell'indirizzo MAC assegnato dall'hypervisor, oppure configurare sugli hypervisor gli indirizzi MAC definiti sulle interfacce del firewall, oppure modificare le impostazioni degli switch virtuali per consentire le modifiche degli indirizzi MAC. In caso contrario, il traffico non passerà.
L'interfaccia di gestione è configurata separatamente e non appare nell'elenco delle interfacce di rete. Nella sezione Impostazioni Interfaccia di Gestione si specifica il gateway predefinito per l'interfaccia di gestione. Altri percorsi statici vengono configurati nella sezione dei router virtuali, di cui si parlerà in seguito.
Per consentire l'accesso al dispositivo tramite altre interfacce, è necessario creare un profilo di gestione Profilo di Gestione nella sezione Rete -> Profili di Rete -> Gestione Interfaccia e assegnarlo all'interfaccia corrispondente.
Successivamente, è necessario configurare DNS e NTP nella sezione Dispositivo -> Servizi per ricevere aggiornamenti e garantire la corretta visualizzazione dell'ora (fig. 3). Per impostazione predefinita, tutto il traffico generato dal firewall utilizza come indirizzo IP sorgente l'indirizzo IP dell'interfaccia di gestione. È possibile assegnare un'interfaccia diversa per ciascun servizio specifico nella sezione Configurazione del percorso del servizio.
Figura 3 – Opzioni per i servizi DNS, NTP e percorsi di sistema
2. Installazione delle licenze, configurazione e installazione degli aggiornamenti
Per il corretto funzionamento di tutte le funzionalità del firewall è necessario installare una licenza. Può essere utilizzata una licenza di prova, richiedendola ai partner di Palo Alto Networks. La validità è di 30 giorni. La licenza può essere attivata tramite file o con il codice di attivazione. Le licenze vengono configurate nella sezione Dispositivo -> Licenze (fig. 4).
Dopo aver installato la licenza, è necessario configurare l'installazione degli aggiornamenti nella sezione Dispositivo -> Aggiornamenti dinamici.
Nella sezione Dispositivo -> Software è possibile scaricare e installare nuove versioni di PAN-OS.
Figura 4 – Pannello di controllo delle licenze
3. Configurazione delle zone di sicurezza, delle interfacce di rete, delle politiche di traffico, della traduzione degli indirizzi
I firewall di Palo Alto Networks utilizzano la logica delle zone per configurare le regole di rete. Le interfacce di rete sono assegnate a una zona specifica, che viene utilizzata nelle regole di traffico. Questo approccio consente, in futuro, di modificare le impostazioni delle interfacce senza dover cambiare le regole di traffico, ma piuttosto di riassegnare le interfacce necessarie alle zone appropriate. Per impostazione predefinita, il traffico all'interno della zona è consentito, mentre il traffico tra le zone è bloccato, grazie alle regole predefinite. intrazone-default e interzone-default.
Figura 5 – Zone di sicurezza
In questo esempio, l'interfaccia nella rete interna è assegnata alla zona internal, mentre l'interfaccia diretta a Internet è assegnata alla zona external. Per l'SSL VPN è stato creato un'interfaccia tunnel, assegnata alla zona vpn (fig. 5).
Le interfacce di rete del firewall Palo Alto Networks possono operare in cinque modalità diverse:
- Tap – utilizzata per la raccolta del traffico a fini di monitoraggio e analisi
- HA – utilizzata per il funzionamento del cluster
- Virtual Wire – in questa modalità Palo Alto Networks unisce due interfacce e consente il passaggio trasparente del traffico tra di esse, senza modificare gli indirizzi MAC e IP
- Layer2 – modalità switch
- Layer3 – modalità router
Figura 6 – Configurazione della modalità di funzionamento dell'interfaccia
In questo esempio verrà utilizzata la modalità Layer3 (fig. 6). Nelle impostazioni dell'interfaccia di rete si specificano l'indirizzo IP, la modalità di funzionamento e la corrispondente zona di sicurezza. Oltre alla modalità di funzionamento dell'interfaccia, è necessario assegnarla al router virtuale Virtual Router, che è l'equivalente dell'istanza VRF in Palo Alto Networks. I router virtuali sono isolati l'uno dall'altro e hanno le proprie tabelle di routing e impostazioni dei protocolli di rete.
Nelle impostazioni del router virtuale si specificano le route statiche e le impostazioni dei protocolli di routing. In questo esempio è stata creata solo la route predefinita per l'accesso alle reti esterne (fig. 7).
Figura 7 – Configurazione del router virtuale
Il passaggio successivo della configurazione sono le politiche di traffico, sezione Policies -> Security. Un esempio di configurazione è mostrato nella figura 8. La logica di funzionamento delle regole è la stessa di tutti i firewall. Le regole vengono controllate dall'alto verso il basso, fino al primo corrispondenza. Breve descrizione delle regole:
1. SSL VPN Access to Web Portal. Consente l'accesso al portale web per l'autenticazione delle connessioni remote
2. VPN traffic – autorizzazione del traffico tra connessioni remote e la sede centrale
3. Basic Internet – autorizzazione delle applicazioni dns, ping, traceroute, ntp. Il firewall consente le applicazioni in base a firme, decodifica e euristica, anziché numeri di porta e protocolli, per cui nella sezione Servizio è indicato application-default. Porta/protocollo predefinito per questa applicazione
4. Web Access – autorizzazione dell'accesso a Internet tramite i protocolli HTTP e HTTPS senza controllo delle applicazioni
5,6. Regole predefinite per il resto del traffico.
Figura 8 – Esempio di configurazione delle regole di rete
Per configurare il NAT si usa la sezione Policies -> NAT. Un esempio di configurazione NAT è mostrato nella figura 9.
Figura 9 – Esempio di configurazione NAT
Per qualsiasi traffico da interno a esterno è possibile modificare l'indirizzo sorgente in un indirizzo IP esterno del firewall e utilizzare un indirizzo portale dinamico (PAT).
4. Configurazione del profilo di autenticazione LDAP e della funzione di Identificazione Utente
Prima di connettere gli utenti tramite SSL-VPN è necessario configurare il meccanismo di autenticazione. In questo esempio, l'autenticazione avverrà sul controller di dominio Active Directory tramite l'interfaccia web di Palo Alto Networks.
Figura 10 – Profilo LDAP
Per far funzionare l'autenticazione, è necessario configurare Profilo LDAP e Profilo di Autenticazione. Nella sezione Dispositivo -> Profili Server -> LDAP (fig. 10) è necessario specificare l'indirizzo IP e la porta del controller di dominio, il tipo LDAP e l'account utente appartenente ai gruppi Operatori del Server, Lettori del Registro Eventi, Utenti COM Distribuiti. Poi nella sezione Dispositivo -> Profilo di Autenticazione creiamo un profilo di autenticazione (fig. 11), selezioniamo quello precedentemente creato Profilo LDAP e nella scheda Avanzate specifichiamo il gruppo di utenti (fig. 12) ai quali è consentito l'accesso remoto. È importante specificare nel profilo il parametro Dominio Utente, altrimenti l'autorizzazione basata sui gruppi non funzionerà. Nel campo deve essere indicato il nome NetBIOS del dominio.
Figura 11 – Profilo di Autenticazione
Figura 12 – Selezione del Gruppo AD
La fase successiva è la configurazione Dispositivo -> Identificazione Utente. Qui è necessario indicare l'indirizzo IP del controller di dominio, le credenziali per la connessione, nonché configurare i parametri Abilita Registro di Sicurezza, Abilita Sessione, Abilita Probing (fig. 13). Nella sezione Mappatura dei Gruppi (fig. 14) è necessario contrassegnare i parametri di identificazione degli oggetti in LDAP e l'elenco dei gruppi che verranno utilizzati per l'autorizzazione. Come nel Profilo di Autenticazione, qui è necessario impostare il parametro Dominio Utente.
Figura 13 – Parametri di Mappatura Utente
Figura 14 – Parametri di Mappatura del Gruppo
L'ultimo passo in questa fase sarà la creazione della zona VPN e dell'interfaccia per questa zona. È necessario attivare l'opzione Abilita Identificazione Utente (fig. 15).
Figura 15 – Configurazione della zona VPN
5. Configurazione SSL VPN
Prima di connettersi a SSL VPN, l'utente remoto deve accedere al portale web, completare l'autenticazione e scaricare il client Global Protect. Successivamente, questo client richiederà le credenziali e si connetterà alla rete aziendale. Il portale web opera in modalità https e, pertanto, è necessario installare un certificato per esso. Utilizzare un certificato pubblico, se possibile. In tal modo, all'utente non verrà mostrato un avviso di invalidità del certificato sul sito. Se non è possibile utilizzare un certificato pubblico, sarà necessario emettere un certificato proprio, da applicare sulla pagina web per https. Può essere auto-firmato o emesso tramite un'autorità di certificazione locale. Il computer remoto deve avere il certificato radice o auto-firmato nella lista delle autorità radice attendibili, affinché all'utente non venga visualizzato un errore durante la connessione al portale web. In questo esempio verrà utilizzato un certificato emesso tramite Active Directory Certificate Services.
Per emettere un certificato, è necessario creare una richiesta di certificato nella sezione Device -> Certificate Management -> Certificates -> Generate. Nella richiesta, specifichiamo il nome del certificato e l'indirizzo IP o il FQDN del portale web (fig. 16). Dopo aver generato la richiesta, scarichiamo .csr il file e copiamo il suo contenuto nel campo della richiesta del certificato nel modulo web di AD CS Web Enrollment. A seconda della configurazione dell'autorità di certificazione, la richiesta del certificato deve essere approvata e scaricato il certificato emesso nel formato Base64 Encoded Certificate. Inoltre, è necessario scaricare il certificato radice dell'autorità di certificazione. Successivamente, è necessario importare entrambi i certificati sul firewall. Durante l'importazione del certificato per il portale web è necessario selezionare la richiesta con stato pending e fare clic su import. Il nome del certificato deve corrispondere a quello specificato precedentemente nella richiesta. Il nome del certificato radice può essere specificato liberamente. Dopo aver importato il certificato, è necessario creare SSL/TLS Service Profile nella sezione Dispositivo -> Gestione dei certificati. Nel profilo, indichiamo il certificato precedentemente importato.
Figura 16 – Richiesta di certificato
Il passo successivo – la configurazione degli oggetti Glоbal Protect Gateway e Global Protect Portal nella sezione Rete -> Global Protect. Nelle impostazioni Glоbal Protect Gateway indichiamo l'indirizzo IP esterno del firewall, nonché i SSL Profile creati in precedenza, Profilo di Autenticazione, interfaccia tunnel e impostazioni IP del cliente. È necessario definire un pool di indirizzi IP da cui verrà assegnato un indirizzo al cliente, e la Route di Access – è una sottorete a cui il cliente avrà accesso. Se si desidera instradare tutto il traffico dell'utente attraverso il firewall, è necessario specificare la sottorete 0.0.0.0/0 (fig. 17).
Figura 17 – Configurazione del pool di indirizzi IP e delle rotte
Successivamente, è necessario configurare Global Protect Portal. Specificare l'indirizzo IP del firewall, SSL Profile creati in precedenza e Profilo di Autenticazione e un elenco di indirizzi IP esterni dei firewall a cui si connetterà il cliente. Se ci sono più firewall, è possibile impostare una priorità per ciascuno, in modo che gli utenti possano scegliere il firewall per la connessione.
Nella sezione Device -> GlobalProtect Client è necessario scaricare il pacchetto del client VPN dai server di Palo Alto Networks e attivarlo. Per connettersi, l'utente deve accedere alla pagina web del portale, dove gli verrà proposto di scaricare GlobalProtect Client. Dopo il download e l'installazione, sarà possibile inserire le proprie credenziali e connettersi alla rete aziendale tramite SSL VPN.
Conclusione
Questa parte della configurazione di Palo Alto Networks è completata. Speriamo che le informazioni siano state utili e che il lettore abbia acquisito una comprensione delle tecnologie utilizzate in Palo Alto Networks. Se avete domande sulla configurazione o suggerimenti per i temi dei futuri articoli, scriveteli nei commenti, saremo lieti di rispondere.
Fonte: habr.com
