Layer3<\/b> \u2013 modalit\u00e0 router<\/li>\n<\/ul>\n \nFigura 6 \u2013 Configurazione della modalit\u00e0 di funzionamento dell'interfaccia<\/i><\/p>\n
In questo esempio verr\u00e0 utilizzata la modalit\u00e0 Layer3 (fig. 6). Nelle impostazioni dell'interfaccia di rete si specificano l'indirizzo IP, la modalit\u00e0 di funzionamento e la corrispondente zona di sicurezza. Oltre alla modalit\u00e0 di funzionamento dell'interfaccia, \u00e8 necessario assegnarla al router virtuale Virtual Router, che \u00e8 l'equivalente dell'istanza VRF in Palo Alto Networks. I router virtuali sono isolati l'uno dall'altro e hanno le proprie tabelle di routing e impostazioni dei protocolli di rete.<\/p>\n
Nelle impostazioni del router virtuale si specificano le route statiche e le impostazioni dei protocolli di routing. In questo esempio \u00e8 stata creata solo la route predefinita per l'accesso alle reti esterne (fig. 7).<\/p>\n
Figura 7 \u2013 Configurazione del router virtuale<\/i><\/p>\n
Il passaggio successivo della configurazione sono le politiche di traffico, sezione Policies -> Security<\/b>. Un esempio di configurazione \u00e8 mostrato nella figura 8. La logica di funzionamento delle regole \u00e8 la stessa di tutti i firewall. Le regole vengono controllate dall'alto verso il basso, fino al primo corrispondenza. Breve descrizione delle regole:<\/p>\n
1. SSL VPN Access to Web Portal. Consente l'accesso al portale web per l'autenticazione delle connessioni remote
Figura 8 \u2013 Esempio di configurazione delle regole di rete<\/i><\/p>\n
Per configurare il NAT si usa la sezione Policies -> NAT<\/b>. Un esempio di configurazione NAT \u00e8 mostrato nella figura 9.<\/p>\n
Figura 9 \u2013 Esempio di configurazione NAT<\/i><\/p>\n
Per qualsiasi traffico da interno a esterno \u00e8 possibile modificare l'indirizzo sorgente in un indirizzo IP esterno del firewall e utilizzare un indirizzo portale dinamico (PAT).<\/p>\n
4. Configurazione del profilo di autenticazione LDAP e della funzione di Identificazione Utente<\/b>
Figura 10 \u2013 Profilo LDAP<\/i><\/p>\n
Per far funzionare l'autenticazione, \u00e8 necessario configurare Profilo LDAP<\/b> e Profilo di Autenticazione<\/b>. Nella sezione Dispositivo -> Profili Server -> LDAP<\/b> (fig. 10) \u00e8 necessario specificare l'indirizzo IP e la porta del controller di dominio, il tipo LDAP e l'account utente appartenente ai gruppi Operatori del Server<\/b>, Lettori del Registro Eventi<\/b>, Utenti COM Distribuiti<\/b>. Poi nella sezione Dispositivo -> Profilo di Autenticazione<\/b> creiamo un profilo di autenticazione (fig. 11), selezioniamo quello precedentemente creato Profilo LDAP<\/b> e nella scheda Avanzate specifichiamo il gruppo di utenti (fig. 12) ai quali \u00e8 consentito l'accesso remoto. \u00c8 importante specificare nel profilo il parametro Dominio Utente<\/b>, altrimenti l'autorizzazione basata sui gruppi non funzioner\u00e0. Nel campo deve essere indicato il nome NetBIOS del dominio.<\/p>\n
Figura 11 \u2013 Profilo di Autenticazione<\/i><\/p>\n
Figura 12 \u2013 Selezione del Gruppo AD<\/i><\/p>\n
La fase successiva \u00e8 la configurazione Dispositivo -> Identificazione Utente<\/b>. Qui \u00e8 necessario indicare l'indirizzo IP del controller di dominio, le credenziali per la connessione, nonch\u00e9 configurare i parametri Abilita Registro di Sicurezza<\/b>, Abilita Sessione<\/b>, Abilita Probing<\/b> (fig. 13). Nella sezione Mappatura dei Gruppi<\/b> (fig. 14) \u00e8 necessario contrassegnare i parametri di identificazione degli oggetti in LDAP e l'elenco dei gruppi che verranno utilizzati per l'autorizzazione. Come nel Profilo di Autenticazione, qui \u00e8 necessario impostare il parametro Dominio Utente.<\/p>\n
Figura 13 \u2013 Parametri di Mappatura Utente<\/i><\/p>\n
Figura 14 \u2013 Parametri di Mappatura del Gruppo<\/i><\/p>\n
L'ultimo passo in questa fase sar\u00e0 la creazione della zona VPN e dell'interfaccia per questa zona. \u00c8 necessario attivare l'opzione Abilita Identificazione Utente<\/b> (fig. 15).<\/p>\n
Figura 15 \u2013 Configurazione della zona VPN<\/i><\/p>\n5. Configurazione SSL VPN<\/h4>\n
\nPrima di connettersi a SSL VPN, l'utente remoto deve accedere al portale web, completare l'autenticazione e scaricare il client Global Protect. Successivamente, questo client richieder\u00e0 le credenziali e si connetter\u00e0 alla rete aziendale. Il portale web opera in modalit\u00e0 https e, pertanto, \u00e8 necessario installare un certificato per esso. Utilizzare un certificato pubblico, se possibile. In tal modo, all'utente non verr\u00e0 mostrato un avviso di invalidit\u00e0 del certificato sul sito. Se non \u00e8 possibile utilizzare un certificato pubblico, sar\u00e0 necessario emettere un certificato proprio, da applicare sulla pagina web per https. Pu\u00f2 essere auto-firmato o emesso tramite un'autorit\u00e0 di certificazione locale. Il computer remoto deve avere il certificato radice o auto-firmato nella lista delle autorit\u00e0 radice attendibili, affinch\u00e9 all'utente non venga visualizzato un errore durante la connessione al portale web. In questo esempio verr\u00e0 utilizzato un certificato emesso tramite Active Directory Certificate Services.<\/p>\n
Per emettere un certificato, \u00e8 necessario creare una richiesta di certificato nella sezione Device -> Certificate Management -> Certificates -> Generate<\/b>. Nella richiesta, specifichiamo il nome del certificato e l'indirizzo IP o il FQDN del portale web (fig. 16). Dopo aver generato la richiesta, scarichiamo .csr<\/b> il file e copiamo il suo contenuto nel campo della richiesta del certificato nel modulo web di AD CS Web Enrollment. A seconda della configurazione dell'autorit\u00e0 di certificazione, la richiesta del certificato deve essere approvata e scaricato il certificato emesso nel formato Base64 Encoded Certificate<\/b>. Inoltre, \u00e8 necessario scaricare il certificato radice dell'autorit\u00e0 di certificazione. Successivamente, \u00e8 necessario importare entrambi i certificati sul firewall. Durante l'importazione del certificato per il portale web \u00e8 necessario selezionare la richiesta con stato pending e fare clic su import. Il nome del certificato deve corrispondere a quello specificato precedentemente nella richiesta. Il nome del certificato radice pu\u00f2 essere specificato liberamente. Dopo aver importato il certificato, \u00e8 necessario creare SSL\/TLS Service Profile<\/b> nella sezione Dispositivo -> Gestione dei certificati<\/b>. Nel profilo, indichiamo il certificato precedentemente importato. <\/p>\n
Figura 16 \u2013 Richiesta di certificato<\/i><\/p>\n
Il passo successivo \u2013 la configurazione degli oggetti Gl\u043ebal Protect Gateway<\/b> e Global Protect Portal<\/b> nella sezione Rete -> Global Protect<\/b>. Nelle impostazioni Gl\u043ebal Protect Gateway<\/b> indichiamo l'indirizzo IP esterno del firewall, nonch\u00e9 i SSL Profile creati in precedenza<\/b>, Profilo di Autenticazione<\/b>, interfaccia tunnel e impostazioni IP del cliente. \u00c8 necessario definire un pool di indirizzi IP da cui verr\u00e0 assegnato un indirizzo al cliente, e la Route di Access \u2013 \u00e8 una sottorete a cui il cliente avr\u00e0 accesso. Se si desidera instradare tutto il traffico dell'utente attraverso il firewall, \u00e8 necessario specificare la sottorete 0.0.0.0\/0 (fig. 17).<\/p>\n
Figura 17 \u2013 Configurazione del pool di indirizzi IP e delle rotte<\/i><\/p>\n
Successivamente, \u00e8 necessario configurare Global Protect Portal<\/b>. Specificare l'indirizzo IP del firewall, SSL Profile creati in precedenza<\/b> e Profilo di Autenticazione<\/b> e un elenco di indirizzi IP esterni dei firewall a cui si connetter\u00e0 il cliente. Se ci sono pi\u00f9 firewall, \u00e8 possibile impostare una priorit\u00e0 per ciascuno, in modo che gli utenti possano scegliere il firewall per la connessione.<\/p>\n
Nella sezione Device -> GlobalProtect Client<\/b> \u00e8 necessario scaricare il pacchetto del client VPN dai server di Palo Alto Networks e attivarlo. Per connettersi, l'utente deve accedere alla pagina web del portale, dove gli verr\u00e0 proposto di scaricare GlobalProtect Client<\/b>. Dopo il download e l'installazione, sar\u00e0 possibile inserire le proprie credenziali e connettersi alla rete aziendale tramite SSL VPN.<\/p>\nConclusione<\/h4>\n
\nQuesta parte della configurazione di Palo Alto Networks \u00e8 completata. Speriamo che le informazioni siano state utili e che il lettore abbia acquisito una comprensione delle tecnologie utilizzate in Palo Alto Networks. Se avete domande sulla configurazione o suggerimenti per i temi dei futuri articoli, scriveteli nei commenti, saremo lieti di rispondere.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Caratteristiche](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")