Questo articolo è una continuazione , dedicato alle caratteristiche della configurazione dell'hardware Palo Alto Networks . Qui vogliamo parlare della configurazione IPSec Site-to-Site VPN sull'hardware Palo Alto Networks e di un possibile schema di configurazione per collegare più fornitori di servizi Internet.
Per la dimostrazione verrà utilizzato uno schema standard di connessione tra la sede centrale e la filiale. Per garantire una connessione Internet resistente ai guasti, nella sede centrale viene utilizzata la connessione simultanea di due fornitori: ISP-1 e ISP-2. La filiale è connessa solo a un fornitore, ISP-3. Tra i firewall PA-1 e PA-2 vengono creati due tunnel. I tunnel operano in modalità Active-Standby, Tunnel-1 è attivo, Tunnel-2 inizierà a trasmettere il traffico in caso di guasto di Tunnel-1. Tunnel-1 utilizza la connessione al fornitore di servizi Internet ISP-1, Tunnel-2 utilizza la connessione al fornitore di servizi Internet ISP-2. Tutti gli indirizzi IP sono stati generati casualmente per scopi dimostrativi e non hanno attinenza con la realtà.
Per costruire il Site-to-Site VPN verrà utilizzato IPSec — un insieme di protocolli per garantire la protezione dei dati trasmessi tramite il protocollo IP. IPSec funzionerà utilizzando il protocollo di sicurezza ESP (Encapsulating Security Payload), che garantirà la crittografia dei dati trasmessi.
In IPSec include IKE (Internet Key Exchange) — protocollo responsabile della negoziazione delle SA (associazioni di sicurezza), i parametri di sicurezza utilizzati per proteggere i dati trasmessi. I firewall PAN supportano IKEv1 e IKEv2.
In IKEv1 La connessione VPN viene costruita in due fasi: IKEv1 Fase 1 (tunnel IKE) e IKEv1 Fase 2 (tunnel IPSec), creando così due tunnel, uno dei quali serve per lo scambio di informazioni di servizio tra i firewall, l'altro per la trasmissione del traffico. In IKEv1 Fase 1 esistono due modalità operative — main mode e aggressive mode. L'aggressive mode utilizza meno messaggi e funziona più velocemente, ma non supporta la Protezione dell'Identità del Peer.
IKEv2 sostituisce IKEv1, e rispetto a IKEv1 il suo principale vantaggio è il minore fabbisogno di larghezza di banda e una più rapida negoziazione delle SA. In IKEv2 vengono utilizzati meno messaggi di servizio (solo 4), è supportato il protocollo EAP, MOBIKE ed è stato aggiunto un meccanismo di controllo della disponibilità del peer, con cui viene creato il tunnel — Liveness Check, che sostituisce il Dead Peer Detection in IKEv1. Se il controllo non va a buon fine, allora IKEv2 può ripristinare il tunnel e poi ripristinarlo automaticamente alla prima opportunità. Maggiori dettagli sulle differenze possono .
Se il tunnel viene creato tra firewall di diversi produttori, potrebbero esserci bug nell'implementazione IKEv2, e per la compatibilità con tali attrezzature c'è la possibilità di utilizzare IKEv1. Negli altri casi è meglio applicare IKEv2.
Fasi di configurazione:
• Configurazione di due fornitori Internet in modalità ActiveStandby
Ci sono diversi modi per implementare questa funzione. Uno di questi consiste nell'utilizzare il meccanismo Path Monitoring, reso disponibile a partire dalla versione PAN-OS 8.0.0. In questo esempio viene utilizzata la versione 8.0.16. Questa funzione è simile a IP SLA nei router Cisco. Nel parametro della rotta statica predefinita viene configurata l'invio di pacchetti ping a un determinato indirizzo IP da un indirizzo sorgente specifico. In questo caso, l'interfaccia ethernet1/1 esegue il ping sul gateway predefinito una volta al secondo. Se non ci sono risposte per tre ping consecutivi, la rotta viene considerata non operativa e rimossa dalla tabella di routing. Una rotta simile viene configurata verso il secondo fornitore Internet, ma con una metrica maggiore (è di riserva). Non appena la prima rotta viene rimossa dalla tabella, il firewall inizierà a inviare traffico tramite la seconda rotta — Fail-Over. Quando il primo fornitore inizia a rispondere ai ping, la sua rotta torna nella tabella e sostituisce la seconda a causa della migliore metrica — Fail-Back. Il processo Fail-Over richiede alcuni secondi a seconda degli intervalli configurati, ma, in ogni caso, il processo non è immediato e durante questo tempo il traffico viene perso. Fail-Back si svolge senza perdita di traffico. È possibile renderlo Fail-Over più veloce, grazie a BFD, se il fornitore Internet offre tale possibilità. BFD è supportato a partire dal modello PA-3000 Series e VM-100. Come indirizzo per il ping è meglio specificare un indirizzo Internet pubblico, sempre disponibile, anziché il gateway del fornitore.
• Creazione di un'interfaccia tunnel
Il traffico all'interno del tunnel viene trasmesso tramite interfacce virtuali speciali. Ognuna di esse deve essere configurata con un indirizzo IP dalla rete di transito. In questo esempio per Tunnel-1 verrà utilizzato il sottorete 172.16.1.0/30, mentre per Tunnel-2 sarà utilizzata la sottorete 172.16.2.0/30.
L'interfaccia tunnel viene creata nella sezione Network -> Interfaces -> Tunnel. È necessario specificare il router virtuale e la zona di sicurezza, nonché l'indirizzo IP della rete di trasporto corrispondente. Il numero dell'interfaccia può essere qualsiasi.
Nella sezione Avanzato si può specificare Profilo di gestione, che consentirà il ping su questa interfaccia, utile per i test.
• Configurazione del profilo IKE
Profilo IKE è responsabile della prima fase della creazione di una connessione VPN, qui vengono specificati i parametri del tunnel. Fase I IKE. Il profilo viene creato nella sezione Network -> Network Profiles -> IKE Crypto. È necessario specificare l'algoritmo di crittografia, di hashing, il gruppo di Diffie-Hellman e la durata delle chiavi. In generale, più complessi sono gli algoritmi, peggiore è la prestazione; devono essere selezionati in base ai requisiti specifici di sicurezza. Tuttavia, si sconsiglia categoricamente di utilizzare un gruppo di Diffie-Hellman inferiore a 14 per proteggere informazioni sensibili. Ciò è dovuto a una vulnerabilità del protocollo, che può essere mitigata solo utilizzando dimensioni modulo di 2048 bit o superiori, oppure algoritmi di crittografia ellittica, utilizzati nei gruppi 19, 20, 21, 24. Questi algoritmi offrono prestazioni migliori rispetto alla crittografia tradizionale. . E .
• Configurazione del profilo IPSec
La seconda fase della creazione della connessione VPN è il tunnel IPSec. I parametri SA per esso sono configurabili in Network -> Network Profiles -> IPSec Crypto Profile. Qui è necessario specificare il protocollo IPSec — AH oppure ESP, nonché i parametri SA — algoritmi di hashing, di crittografia, gruppi di Diffie-Hellman e durata delle chiavi. I parametri SA nel profilo IKE Crypto e nel profilo IPSec Crypto potrebbero non coincidere.
• Configurazione del gateway IKE
Gateway IKE è un oggetto che indica il router o il firewall con cui viene stabilito il tunnel VPN. Per ogni tunnel è necessario creare il proprio Gateway IKE. In questo caso, vengono creati due tunnel, uno attraverso ciascun fornitore di servizi Internet. Si specificano l'interfaccia di uscita corrispondente e il suo indirizzo IP, l'indirizzo IP del peer e la chiave condivisa. In alternativa alla chiave condivisa, è possibile utilizzare certificati.
Qui si specifica il già creato Profilo IKE Crypto. I parametri del secondo oggetto Gateway IKE sono analoghi, eccetto per gli indirizzi IP. Se il firewall Palo Alto Networks si trova dietro un router NAT, è necessario attivare il meccanismo NAT Traversal.
• Configurazione del tunnel IPSec
Tunnel IPSec è un oggetto in cui vengono specificati i parametri del tunnel IPSec, come suggerisce il nome. Qui è necessario specificare l'interfaccia del tunnel e gli oggetti precedentemente creati. Gateway IKE, Profilo Crypto IPSec. Per garantire il passaggio automatico della routizzazione al tunnel di riserva, è necessario attivare Tunnel Monitor. Questo è un meccanismo che verifica se il peer è attivo tramite traffico ICMP. Come indirizzo di destinazione, deve essere specificato l'indirizzo IP dell'interfaccia tunnel del peer con cui viene stabilito il tunnel. Nel profilo vengono specificati i timer e l'azione in caso di perdita di connessione. Aspetta recupero – attendere finché la connessione non si ripristina, Fail Over – inviare il traffico tramite un altro percorso, se disponibile. La configurazione del secondo tunnel è completamente analoga, deve essere specificata la seconda interfaccia tunnel e il Gateway IKE.
• Configurazione della routizzazione
In questo esempio viene utilizzata la routizzazione statica. Sul firewall PA-1 è necessario, oltre ai due percorsi predefiniti, specificare due percorsi verso la subnet 10.10.10.0/24 nella filiale. Un percorso utilizza Tunnel-1, l'altro Tunnel-2. Il percorso attraverso Tunnel-1 è principale poiché ha una metrica inferiore. Il meccanismo Path Monitoring per questi percorsi non viene utilizzato. Il passaggio è gestito da Tunnel Monitor.
Percorsi analoghi per la subnet 192.168.30.0/24 devono essere configurati su PA-2.
• Configurazione delle regole di rete
Per il funzionamento del tunnel sono necessarie tre regole:
- Per funzionare Path Monitor consentire ICMP sulle interfacce esterne.
- Per IPSec consentire le applicazioni ike e ipsec sulle interfacce esterne.
- Consentire il traffico tra le subnet interne e le interfacce tunnel.
Conclusione
In questo articolo viene esaminata l'opzione di configurazione di una connessione Internet ad alta disponibilità e Site-to-Site VPN. Speriamo che le informazioni siano state utili e che il lettore abbia acquisito una comprensione delle tecnologie utilizzate in Palo Alto Networks. Se avete domande sulla configurazione o suggerimenti per argomenti di articoli futuri, scriveteli nei commenti, saremo felici di rispondere.
Fonte: habr.com
