Nonostante tutti i vantaggi dei firewall Palo Alto Networks, ci sono pochi materiali disponibili in russo sulla configurazione di questi dispositivi e pochi testi che descrivono l'esperienza della loro implementazione. Abbiamo deciso di riassumere i materiali accumulati durante il nostro lavoro con l'hardware di questo fornitore e di parlare delle particolarità con cui abbiamo avuto a che fare durante l'implementazione di diversi progetti.
Per introdurre Palo Alto Networks, in questo articolo verranno esaminate le impostazioni necessarie per risolvere una delle attività di firewalling più comuni: SSL VPN per l'accesso remoto. Parleremo anche delle funzionalità ausiliarie per la configurazione generale del firewall, l'identificazione degli utenti, delle applicazioni e delle politiche di sicurezza. Se l'argomento interesserà i lettori, in seguito pubblicheremo materiali con l'analisi di Site-to-Site VPN, del routing dinamico e della gestione centralizzata tramite Panorama.
I firewall Palo Alto Networks utilizzano una serie di tecnologie innovative, tra cui App-ID, User-ID e Content-ID. L'utilizzo di queste funzionalità consente di garantire un elevato livello di sicurezza. Ad esempio, tramite App-ID è possibile identificare il traffico delle applicazioni sulla base di firme, decodifica ed euristiche, indipendentemente dalla porta e dal protocollo utilizzati, anche all'interno di un tunnel SSL. User-ID consente di identificare gli utenti della rete tramite integrazione con LDAP. Content-ID offre la possibilità di scansionare il traffico e identificare i file trasmessi e il loro contenuto. Tra le altre funzioni dei firewall, si possono citare la protezione contro le intrusioni, la protezione da vulnerabilità e attacchi DoS, un antispyware integrato, la filtrazione URL, la clustering e la gestione centralizzata.
Per la dimostrazione utilizzeremo un ambiente isolato, con una configurazione identica a quella reale, tranne per i nomi dei dispositivi, il nome del dominio AD e degli indirizzi IP. Nella realtà è tutto più complesso: le filiali possono essere molte. Ai confini delle sedi centrali, in questo caso, invece di un solo firewall verrà installato un cluster, e potrebbe anche essere necessaria una routing dinamico.
Nell'ambiente viene utilizzato PAN-OS 7.1.9. Come configurazione standard, consideriamo una rete con un firewall Palo Alto Networks al confine. Il firewall fornisce accesso remoto SSL VPN alla sede centrale. Come database utenti sarà utilizzato il dominio Active Directory (figura 1).
Figura 1 – Schema strutturale della rete
Fasi di configurazione:
- Pre-configurazione del dispositivo. Assegnazione del nome, Indirizzi IP gestione, percorsi statici, account amministratori, profili di gestione
- Installazione delle licenze, configurazione e installazione degli aggiornamenti
- Configurazione delle zone di sicurezza, interfacce di rete, politiche del traffico, traduzione degli indirizzi
- Configurazione del profilo di autenticazione LDAP e della funzione di identificazione utente
- Configurazione SSL VPN
1. Pre-configurazione
Lo strumento principale per la configurazione del firewall Palo Alto Networks è l'interfaccia web, è anche possibile gestire tramite CLI. Per impostazione predefinita l'interfaccia di gestione ha l'indirizzo IP 192.168.1.1/24, login: admin, password: admin.
È possibile modificare l'indirizzo connettendosi all'interfaccia web dalla stessa rete, oppure tramite il comando set deviceconfig system ip-address netmask. Questo viene eseguito in modalità di configurazione. Per passare alla modalità di configurazione si utilizza il comando configure. Tutte le modifiche al firewall avvengono solo dopo la conferma delle impostazioni tramite il comando commit, sia in modalità riga di comando che nell'interfaccia web.
Per modificare le impostazioni nell'interfaccia web si utilizza la sezione Device -> General Settings e Device -> Management Interface Settings. Nome, banner, fuso orario e altre impostazioni possono essere impostati nella sezione Impostazioni generali (fig. 2).
Figura 2 – Opzioni dell'interfaccia di gestione
Nel caso in cui venga utilizzato un firewall virtuale in ambiente ESXi, nella sezione Impostazioni generali è necessario abilitare l'uso dell'indirizzo MAC assegnato dal hypervisor, oppure configurare sugli hypervisor gli indirizzi MAC definiti sulle interfacce del firewall, oppure modificare le impostazioni degli switch virtuali per consentire la modifica degli indirizzi MAC. Altrimenti, il traffico non passerà.
L'interfaccia di gestione viene configurata separatamente e non appare nell'elenco delle interfacce di rete. Nella sezione Impostazioni interfaccia di gestione si specifica il gateway predefinito per l'interfaccia di gestione. Altri percorsi statici vengono configurati nella sezione dei router virtuali, di questo si parlerà in seguito.
Per concedere l'accesso al dispositivo tramite altre interfacce è necessario creare un profilo di gestione Profilo di gestione nella sezione Rete -> Profili di rete -> Gestione interfaccia e assegnarlo all'interfaccia corrispondente.
In seguito, è necessario configurare DNS e NTP nella sezione Dispositivo -> Servizi per ricevere aggiornamenti e visualizzare correttamente l'ora (fig. 3). Di default, tutto il traffico generato dal firewall utilizza come indirizzo IP di origine l'indirizzo IP dell'interfaccia di gestione. È possibile assegnare un'altra interfaccia a ciascun servizio specifico nella sezione Configurazione del percorso di servizio.
Figura 3 – Opzioni per i servizi DNS, NTP e i percorsi di sistema
2. Installazione delle licenze, configurazione e installazione degli aggiornamenti
Per il corretto funzionamento di tutte le funzioni del firewall è necessario installare una licenza. È possibile utilizzare una licenza di prova, richiedendola ai partner di Palo Alto Networks. La sua validità è di 30 giorni. La licenza può essere attivata tramite file o usando il codice Auth. Le licenze si configurano nella sezione Dispositivo -> Licenze (fig. 4).
Dopo aver installato la licenza, è necessario configurare l'installazione degli aggiornamenti nella sezione Dispositivo -> Aggiornamenti dinamici.
Nella sezione Dispositivo -> Software si possono scaricare e installare nuove versioni di PAN-OS.
Figura 4 – Pannello di controllo delle licenze
3. Configurazione delle zone di sicurezza, delle interfacce di rete, delle politiche di traffico, della traduzione degli indirizzi
I firewall di Palo Alto Networks applicano la logica delle zone durante la configurazione delle regole di rete. Le interfacce di rete vengono assegnate a una zona specifica che viene utilizzata nelle regole di traffico. Questo approccio consente in futuro, quando si modificano le impostazioni delle interfacce, di non cambiare le regole di traffico, ma piuttosto di ripristinare le interfacce necessarie nelle zone corrispondenti. Di default, il traffico all'interno della zona è consentito, il traffico tra le zone è vietato, e ciò è gestito da regole preimpostate intrazone-default e interzone-default.
Figura 5 – Zone di sicurezza
In questo esempio, l'interfaccia nella rete interna è assegnata alla zona interno, e l'interfaccia rivolta a Internet è assegnata alla zona esterno. Per SSL VPN è stata creata un'interfaccia tunnel assegnata alla zona vpn (fig. 5).
Le interfacce di rete del firewall di Palo Alto Networks possono funzionare in cinque modalità diverse:
- Tap – utilizzata per la raccolta del traffico a fini di monitoraggio e analisi
- HA – utilizzata per il funzionamento del cluster
- Virtual Wire – in questa modalità Palo Alto Networks unisce due interfacce e fa passare il traffico tra di esse in modo trasparente, senza modificare gli indirizzi MAC e IP
- Livello2 – modalità switch
- Livello3 – modalità router
Figura 6 – Configurazione della modalità di lavoro dell'interfaccia
In questo esempio verrà utilizzata la modalità Layer3 (fig. 6). Nei parametri dell'interfaccia di rete viene specificato l'indirizzo IP, la modalità di lavoro e la zona di sicurezza corrispondente. Oltre alla modalità di lavoro dell'interfaccia, è necessario assegnarla al router virtuale Virtual Router, che è l'equivalente dell'istanza VRF in Palo Alto Networks. I router virtuali sono isolati l'uno dall'altro e hanno le proprie tabelle di routing e impostazioni dei protocolli di rete.
Nelle impostazioni del router virtuale vengono specificate le rotte statiche e le impostazioni dei protocolli di routing. In questo esempio è stata creata solo la rotta predefinita per l'accesso alle reti esterne (fig. 7).
Figura 7 – Configurazione del router virtuale
Il passo successivo nella configurazione – politiche del traffico, sezione Policies -> Security. Un esempio di configurazione è mostrato nella figura 8. La logica di funzionamento delle regole è la stessa di tutti i firewall. Le regole vengono verificate dall'alto verso il basso, fino al primo riscontro. Breve descrizione delle regole:
1. Accesso SSL VPN al portale web. Consente l'accesso al portale web per l'autenticazione delle connessioni remote
2. Traffico VPN – autorizzazione del traffico tra connessioni remote e sede centrale
3. Internet di base – autorizzazione delle applicazioni dns, ping, traceroute, ntp. Il firewall consente le applicazioni sulla base delle firme, della decodifica e dell'euristica, e non dei numeri di porta e dei protocolli, quindi nella sezione Servizio è indicato application-default. Porta/protocollo predefinito per questa applicazione
4. Accesso Web – autorizzazione dell'accesso a Internet tramite protocolli HTTP e HTTPS senza controllo delle applicazioni
5,6. Regole predefinite per il restante traffico.
Figura 8 — Esempio di configurazione delle regole di rete
Per configurare il NAT si utilizza la sezione Policies -> NAT. Un esempio di configurazione NAT è mostrato nella figura 9.
Figura 9 – Esempio di configurazione NAT
Per qualsiasi traffico dall'interno verso l'esterno è possibile modificare l'indirizzo sorgente in un indirizzo IP pubblico del firewall e utilizzare un indirizzo di porta dinamico (PAT).
4. Configurazione del profilo di autenticazione LDAP e della funzione di identificazione dell'utente
Prima di collegare gli utenti tramite SSL-VPN, è necessario configurare il meccanismo di autenticazione. In questo esempio, l'autenticazione avverrà sul controller del dominio Active Directory attraverso l'interfaccia web di Palo Alto Networks.
Figura 10 – Profilo LDAP
Affinché l'autenticazione funzioni, è necessario configurare Profilo LDAP e Profilo di Autenticazione. Nella sezione Device -> Server Profiles -> LDAP (fig. 10) è necessario specificare l'indirizzo IP e la porta del controller di dominio, il tipo LDAP e l'account utente che appartiene ai gruppi Server Operators, Event Log Readers, Distributed COM Users. Poi nella sezione Device -> Authentication Profile creiamo un profilo di autenticazione (fig. 11), selezioniamo il Profilo LDAP preparato in precedenza e nella scheda Avanzate specifichiamo il gruppo di utenti (fig. 12) a cui è consentito l'accesso remoto. È importante indicare nel profilo il parametro User Domain, altrimenti l'autenticazione basata sui gruppi non funzionerà. Nel campo deve essere specificato il nome NetBIOS del dominio.
Figura 11 – Profilo di Autenticazione
Figura 12 – Selezione del gruppo AD
Il passaggio successivo è la configurazione Device -> User Identification. Qui è necessario specificare l'indirizzo IP del controller di dominio, le credenziali per la connessione e configurare le impostazioni Enable Security Log, Enable Session, Enable Probing (fig. 13). Nella sezione Group Mapping (fig. 14) è necessario contrassegnare le impostazioni di identificazione degli oggetti in LDAP e l'elenco dei gruppi che saranno utilizzati per l'autenticazione. Come nel Profilo di Autenticazione, qui è necessario specificare il parametro User Domain.
Figura 13 – Impostazioni User Mapping
Figura 14 – Impostazioni Group Mapping
L'ultimo passo in questa fase sarà la creazione di una zona VPN e di un'interfaccia per questa zona. Nell'interfaccia è necessario abilitare il parametro Enable User Identification (fig. 15).
Figura 15 – Configurazione della zona VPN
5. Configurazione SSL VPN
Prima di collegarsi a SSL VPN, l'utente remoto deve accedere al portale web, superare l'autenticazione e scaricare il client Global Protect. Successivamente, questo client richiederà le credenziali e si connette alla rete aziendale. Il portale web funziona in modalità https e, di conseguenza, è necessario installare un certificato per esso. Utilizzare un certificato pubblico, se possibile. In questo modo, all'utente non verrà mostrato un avviso di invalidità del certificato sul sito. Se non è possibile utilizzare un certificato pubblico, è necessario emettere uno proprio, da utilizzare nella pagina web per https. Può essere auto-firmato o emesso tramite un'autorità di certificazione locale. Il computer remoto deve avere il certificato root o l'auto-firmato nella lista dei centri di certificazione attendibili, in modo che all'utente non venga mostrato un errore durante la connessione al portale web. In questo esempio sarà utilizzato un certificato emesso tramite il servizio di certificazione Active Directory Certificate Services.
Per emettere un certificato è necessario creare una richiesta di certificato nella sezione Device -> Certificate Management -> Certificates -> Generate. Nella richiesta specifichiamo il nome del certificato e l'indirizzo IP o FQDN del portale web (fig. 16). Dopo aver generato la richiesta, scarichiamo .csr file e copiamo il suo contenuto nel campo della richiesta del certificato nel modulo web AD CS Web Enrollment. A seconda della configurazione dell'autorità di certificazione, la richiesta del certificato deve essere approvata e il certificato emesso deve essere scaricato in formato Base64 Encoded Certificate. Inoltre, è necessario scaricare il certificato root dell'autorità di certificazione. Successivamente, è necessario importare entrambi i certificati nel firewall. Durante l'importazione del certificato per il portale web è necessario selezionare la richiesta con stato pending e fare clic su import. Il nome del certificato deve corrispondere al nome precedentemente specificato nella richiesta. Il nome del certificato root può essere specificato liberamente. Dopo l'importazione del certificato, è necessario creare SSL/TLS Service Profile nella sezione Device -> Certificate Management. Nel profilo specifichiamo il certificato precedentemente importato.
Figura 16 – Richiesta di certificato
Il passo successivo è la configurazione degli oggetti Glоbal Protect Gateway e Global Protect Portal nella sezione Network -> Global Protect. Nelle impostazioni Glоbal Protect Gateway specificiamo l'indirizzo IP esterno del firewall, nonché i precedentemente creati SSL Profile, Profilo di Autenticazione, interfaccia tunnel e impostazioni IP del client. È necessario definire un pool di indirizzi IP dal quale verrà assegnato l'indirizzo al client, e il percorso di accesso – le sotto-reti alle quali il client avrà accesso. Se l'obiettivo è instradare tutto il traffico dell'utente attraverso il firewall, è necessario specificare la sotto-rete 0.0.0.0/0 (fig. 17).
Figura 17 – Configurazione del pool di indirizzi IP e dei percorsi
Successivamente, è necessario configurare Global Protect Portal. Indichiamo l'indirizzo IP del firewall, SSL Profile e Profilo di Autenticazione e l'elenco degli indirizzi IP pubblici dei firewall a cui il client si connetterà. Se ci sono più firewall, è possibile impostare una priorità per ciascuno, secondo la quale gli utenti sceglieranno il firewall per la connessione.
Nella sezione Dispositivo -> Client GlobalProtect è necessario scaricare il pacchetto del client VPN dai server di Palo Alto Networks e attivarlo. Per connettersi, l'utente deve accedere alla pagina web del portale, dove gli verrà chiesto di scaricare Client GlobalProtect. Dopo il download e l'installazione, sarà possibile inserire le credenziali e connettersi alla rete aziendale tramite SSL VPN.
Conclusione
A questo punto, la parte di configurazione di Palo Alto Networks è terminata. Speriamo che le informazioni siano state utili e che il lettore abbia avuto un'idea delle tecnologie utilizzate in Palo Alto Networks. Se hai domande sulla configurazione o suggerimenti per gli argomenti dei futuri articoli, scrivili nei commenti, saremo felici di rispondere.
Fonte: habr.com
