Questo articolo è un seguito , dedicato alle peculiarità della configurazione delle apparecchiature Palo Alto Networks . Qui vogliamo parlare della configurazione IPSec Site-to-Site VPN sulle apparecchiature Palo Alto Networks e di un possibile modo per connettere più fornitori di servizi internet.
Per la dimostrazione sarà utilizzato uno schema standard di connessione della sede centrale all'ufficio filiale. Per garantire una connessione internet ad alta affidabilità, nella sede centrale si utilizza la connessione simultanea a due fornitori: ISP-1 e ISP-2. L'ufficio filiale è connesso a un solo fornitore, ISP-3. Tra i firewall PA-1 e PA-2 vengono costruiti due tunnel. I tunnel funzionano in modalità Attivo-Standby, Tunnel-1 è attivo, Tunnel-2 inizierà a trasmettere traffico in caso di guasto di Tunnel-1. Tunnel-1 utilizza la connessione al fornitore di servizi internet ISP-1, Tunnel-2 utilizza la connessione al fornitore di servizi internet ISP-2. Tutti gli indirizzi IP sono stati generati casualmente a scopi dimostrativi e non hanno attinenza con la realtà.
Per costruire un Site-to-Site VPN sarà utilizzato IPSec — insieme di protocolli per garantire la protezione dei dati trasmessi tramite protocollo IP. IPSec funzionerà utilizzando il protocollo di sicurezza ESP (Encapsulating Security Payload), che garantirà la crittografia dei dati trasmessi.
In IPSec è incluso IKE (Internet Key Exchange) — protocollo responsabile della negoziazione delle SA (security associations), parametri di sicurezza utilizzati per proteggere i dati trasmessi. I firewall PAN supportano IKEv1 e IKEv2.
In IKEv1 La connessione VPN è costruita in due fasi: Fase 1 di IKEv1 (tunnel IKE) e Fase 2 di IKEv1 (tunnel IPSec), creando così due tunnel, uno dei quali serve per lo scambio di informazioni di controllo tra i firewall, mentre l'altro per il trasferimento del traffico. In Fase 1 di IKEv1 esistono due modalità operative — modalità principale e modalità aggressiva. La modalità aggressiva utilizza meno messaggi e funziona più velocemente, ma non supporta la Protezione dell'Identità del Peer.
IKEv2 ha sostituito IKEv1, e rispetto a IKEv1 il suo principale vantaggio — requisiti di larghezza di banda inferiori e una negoziazione SA più veloce. In IKEv2 viene utilizzato un minor numero di messaggi di controllo (solo 4), supporta il protocollo EAP, MOBIKE ed è stato aggiunto un meccanismo di verifica della disponibilità del peer con cui viene creato il tunnel — Controllo di Liveness, che sostituisce il Dead Peer Detection in IKEv1. Se il controllo non va a buon fine, allora IKEv2 può azzerare il tunnel e poi ripristinarlo automaticamente alla prima opportunità. Maggiori dettagli sulle differenze possono .
Se il tunnel viene stabilito tra firewall di diversi produttori, potrebbero esserci bug nell'implementazione IKEv2, e per garantire la compatibilità con tali dispositivi è possibile utilizzare IKEv1. In altri casi, è meglio utilizzare IKEv2.
Fasi di configurazione:
• Configurazione di due fornitori di servizi Internet in modalità ActiveStandby
Ci sono diversi modi per implementare questa funzione. Uno di essi prevede l'uso del meccanismo Path Monitoring, reso disponibile a partire dalla versione PAN-OS 8.0.0. In questo esempio viene utilizzata la versione 8.0.16. Questa funzione è simile a IP SLA nei router Cisco. Nell'impostazione della rotta predefinita statica, viene configurato l'invio di pacchetti ping a un determinato indirizzo IP da un indirizzo sorgente specifico. In questo caso, l'interfaccia ethernet1/1 effettua il ping al gateway predefinito una volta al secondo. Se non ci sono risposte per tre ping consecutivi, la rotta viene considerata non funzionante e rimossa dalla tabella di routing. Una rotta simile viene configurata verso il secondo fornitore di Internet, ma con una metrica più alta (è di riserva). Non appena la prima rotta viene rimossa dalla tabella, il firewall inizierà a inviare il traffico attraverso la seconda rotta — Fail-Over. Quando il primo provider inizia a rispondere ai ping, la sua rotta tornerà nella tabella e sostituirà la seconda a causa della metrica migliore — Fail-Back. Il processo Fail-Over richiede alcuni secondi a seconda degli intervalli impostati, ma, in ogni caso, il processo non è immediato e durante questo tempo il traffico viene perso. Fail-Back avviene senza perdita di traffico. C'è la possibilità di renderlo Fail-Over più veloce, grazie a BFD, se il fornitore di Internet lo consente. BFD è supportato a partire dal modello PA-3000 Series e VM-100. È consigliabile utilizzare un indirizzo internet pubblico sempre accessibile piuttosto che il gateway del provider per il ping.
• Creazione dell'interfaccia tunnel
Il traffico all'interno del tunnel è trasmesso tramite interfacce virtuali speciali. Ognuna di esse deve avere un indirizzo IP configurato dalla rete di transito. In questo esempio, per Tunnel-1 sarà utilizzato il sottorete 172.16.1.0/30, mentre per Tunnel-2 la sottorete 172.16.2.0/30.
L'interfaccia tunnel viene creata nella sezione Network -> Interfaces -> Tunnel. È necessario specificare il router virtuale e la zona di sicurezza, oltre all'indirizzo IP della rete di trasporto corrispondente. Il numero dell'interfaccia può essere qualsiasi.
Nella sezione Advanced può essere specificato Profilo di Gestione, il quale permette il ping su questa interfaccia, il che può essere utile per i test.
• Configurazione del profilo IKE
Profilo IKE è responsabile della prima fase di creazione della connessione VPN, qui sono indicati i parametri del tunnel Fase IKE 1. Il profilo viene creato nella sezione Network -> Network Profiles -> IKE Crypto. È necessario specificare l'algoritmo di crittografia, di hashing, il gruppo di Diffie-Hellman e il tempo di vita delle chiavi. In generale, più complessi sono gli algoritmi, peggiore sarà la prestazione; devono essere scelti in base ai requisiti specifici di sicurezza. Tuttavia, è categoricamente sconsigliato utilizzare gruppi di Diffie-Hellman inferiori a 14 per proteggere informazioni importanti. Questo è dovuto a una vulnerabilità del protocollo, che può essere mitigata solo usando moduli di dimensioni pari a 2048 bit o superiori, oppure algoritmi di crittografia ellittica, utilizzati nei gruppi 19, 20, 21, 24. Questi algoritmi offrono prestazioni superiori rispetto alla crittografia tradizionale. . E .
• Configurazione del profilo IPSec
La seconda fase nella creazione della connessione VPN è il tunnel IPSec. I parametri SA per questo devono essere configurati in Network -> Network Profiles -> IPSec Crypto Profile. Qui è necessario specificare il protocollo IPSec — AH oppure ESP, così come i parametri SA — algoritmi di hashing, crittografia, gruppi di Diffie-Hellman e tempo di vita delle chiavi. I parametri SA nel profilo IKE Crypto e nel profilo IPSec Crypto possono non coincidere.
• Configurazione del Gateway IKE
Gateway IKE — è un oggetto che rappresenta un router o un firewall, con cui viene costruito un tunnel VPN. Per ogni tunnel è necessario crearne uno proprio Gateway IKE. In questo caso, vengono creati due tunnel, uno tramite ciascun provider internet. Si specifica l'interfaccia di uscita corrispondente e il suo indirizzo IP, l'indirizzo IP del peer e la chiave condivisa. In alternativa alla chiave condivisa, possono essere utilizzati dei certificati.
Qui viene specificato il IKE Crypto Profile. I parametri del secondo oggetto Gateway IKE sono simili, tranne per gli indirizzi IP. Se il firewall Palo Alto Networks si trova dietro un router NAT, è necessario abilitare il meccanismo NAT Traversal.
• Configurazione dell'IPSec Tunnel
IPSec Tunnel è un oggetto in cui vengono specificati i parametri del tunnel IPSec, come suggerisce il nome. Qui è necessario indicare l'interfaccia del tunnel e gli oggetti precedentemente creati Gateway IKE, IPSec Crypto Profile. Per garantire il commutazione automatica del routing sul tunnel di riserva è necessario abilitare Tunnel Monitor. È un meccanismo che verifica se il peer è attivo utilizzando traffico ICMP. L'indirizzo di destinazione deve essere l'indirizzo IP dell'interfaccia tunnel del peer con cui si sta stabilendo il tunnel. Nel profilo si specificano i timer e l'azione da intraprendere in caso di perdita di connessione. Attendere il ripristino – attendere fino a quando la connessione non viene ripristinata, Fail Over — indirizzare il traffico su un altro percorso, se disponibile. La configurazione del secondo tunnel è completamente analoga, specificando la seconda interfaccia tunnel e l'IKE Gateway.
• Configurazione del routing
In questo esempio viene utilizzato il routing statico. Sul firewall PA-1 è necessario specificare, oltre a due rotte predefinite, due rotte verso la subnet 10.10.10.0/24 nella filiale. Una rotta utilizza Tunnel-1, l'altra Tunnel-2. La rotta tramite Tunnel-1 è principale poiché ha una metrica inferiore. Il meccanismo Path Monitoring per queste rotte non è utilizzato. La commutazione è gestita da Tunnel Monitor.
Rotte simili per la subnet 192.168.30.0/24 devono essere configurate su PA-2.
• Configurazione delle regole di rete
Per il funzionamento del tunnel sono necessarie tre regole:
- Per funzionare Path Monitor consentire ICMP sulle interfacce esterne.
- Per IPSec consentire le applicazioni ike e ipsec sulle interfacce esterne.
- Consenti il traffico tra le sottoreti interne e le interfacce tunnel.
Conclusione
In questo articolo esaminiamo un'opzione per configurare una connessione Internet ad alta disponibilità e Site-to-Site VPN. Speriamo che le informazioni siano state utili e che il lettore abbia ottenuto una comprensione delle tecnologie utilizzate in Palo Alto Networks. Se hai domande sulla configurazione e suggerimenti su argomenti per articoli futuri, scrivili nei commenti, saremo felici di rispondere.
Fonte: habr.com
