Livello3<\/b> \u2013 modalit\u00e0 router<\/li>\n<\/ul>\n \nFigura 6 \u2013 Configurazione della modalit\u00e0 di lavoro dell'interfaccia<\/i><\/p>\n
In questo esempio verr\u00e0 utilizzata la modalit\u00e0 Layer3 (fig. 6). Nei parametri dell'interfaccia di rete viene specificato l'indirizzo IP, la modalit\u00e0 di lavoro e la zona di sicurezza corrispondente. Oltre alla modalit\u00e0 di lavoro dell'interfaccia, \u00e8 necessario assegnarla al router virtuale Virtual Router, che \u00e8 l'equivalente dell'istanza VRF in Palo Alto Networks. I router virtuali sono isolati l'uno dall'altro e hanno le proprie tabelle di routing e impostazioni dei protocolli di rete.<\/p>\n
Nelle impostazioni del router virtuale vengono specificate le rotte statiche e le impostazioni dei protocolli di routing. In questo esempio \u00e8 stata creata solo la rotta predefinita per l'accesso alle reti esterne (fig. 7).<\/p>\n
Figura 7 \u2013 Configurazione del router virtuale<\/i><\/p>\n
Il passo successivo nella configurazione \u2013 politiche del traffico, sezione Policies -> Security<\/b>. Un esempio di configurazione \u00e8 mostrato nella figura 8. La logica di funzionamento delle regole \u00e8 la stessa di tutti i firewall. Le regole vengono verificate dall'alto verso il basso, fino al primo riscontro. Breve descrizione delle regole:<\/p>\n
1. Accesso SSL VPN al portale web. Consente l'accesso al portale web per l'autenticazione delle connessioni remote
Figura 8 \u2014 Esempio di configurazione delle regole di rete<\/i><\/p>\n
Per configurare il NAT si utilizza la sezione Policies -> NAT<\/b>. Un esempio di configurazione NAT \u00e8 mostrato nella figura 9.<\/p>\n
Figura 9 \u2013 Esempio di configurazione NAT<\/i><\/p>\n
Per qualsiasi traffico dall'interno verso l'esterno \u00e8 possibile modificare l'indirizzo sorgente in un indirizzo IP pubblico del firewall e utilizzare un indirizzo di porta dinamico (PAT).<\/p>\n
4. Configurazione del profilo di autenticazione LDAP e della funzione di identificazione dell'utente<\/b>
Figura 10 \u2013 Profilo LDAP<\/i><\/p>\n
Affinch\u00e9 l'autenticazione funzioni, \u00e8 necessario configurare Profilo LDAP<\/b> e Profilo di Autenticazione<\/b>. Nella sezione Device -> Server Profiles -> LDAP<\/b> (fig. 10) \u00e8 necessario specificare l'indirizzo IP e la porta del controller di dominio, il tipo LDAP e l'account utente che appartiene ai gruppi Server Operators<\/b>, Event Log Readers<\/b>, Distributed COM Users<\/b>. Poi nella sezione Device -> Authentication Profile<\/b> creiamo un profilo di autenticazione (fig. 11), selezioniamo il Profilo LDAP<\/b> preparato in precedenza e nella scheda Avanzate specifichiamo il gruppo di utenti (fig. 12) a cui \u00e8 consentito l'accesso remoto. \u00c8 importante indicare nel profilo il parametro User Domain<\/b>, altrimenti l'autenticazione basata sui gruppi non funzioner\u00e0. Nel campo deve essere specificato il nome NetBIOS del dominio.<\/p>\n
Figura 11 \u2013 Profilo di Autenticazione<\/i><\/p>\n
Figura 12 \u2013 Selezione del gruppo AD<\/i><\/p>\n
Il passaggio successivo \u00e8 la configurazione Device -> User Identification<\/b>. Qui \u00e8 necessario specificare l'indirizzo IP del controller di dominio, le credenziali per la connessione e configurare le impostazioni Enable Security Log<\/b>, Enable Session<\/b>, Enable Probing<\/b> (fig. 13). Nella sezione Group Mapping<\/b> (fig. 14) \u00e8 necessario contrassegnare le impostazioni di identificazione degli oggetti in LDAP e l'elenco dei gruppi che saranno utilizzati per l'autenticazione. Come nel Profilo di Autenticazione, qui \u00e8 necessario specificare il parametro User Domain.<\/p>\n
Figura 13 \u2013 Impostazioni User Mapping<\/i><\/p>\n
Figura 14 \u2013 Impostazioni Group Mapping<\/i><\/p>\n
L'ultimo passo in questa fase sar\u00e0 la creazione di una zona VPN e di un'interfaccia per questa zona. Nell'interfaccia \u00e8 necessario abilitare il parametro Enable User Identification<\/b> (fig. 15).<\/p>\n
Figura 15 \u2013 Configurazione della zona VPN<\/i><\/p>\n5. Configurazione SSL VPN<\/h4>\n
\nPrima di collegarsi a SSL VPN, l'utente remoto deve accedere al portale web, superare l'autenticazione e scaricare il client Global Protect. Successivamente, questo client richieder\u00e0 le credenziali e si connette alla rete aziendale. Il portale web funziona in modalit\u00e0 https e, di conseguenza, \u00e8 necessario installare un certificato per esso. Utilizzare un certificato pubblico, se possibile. In questo modo, all'utente non verr\u00e0 mostrato un avviso di invalidit\u00e0 del certificato sul sito. Se non \u00e8 possibile utilizzare un certificato pubblico, \u00e8 necessario emettere uno proprio, da utilizzare nella pagina web per https. Pu\u00f2 essere auto-firmato o emesso tramite un'autorit\u00e0 di certificazione locale. Il computer remoto deve avere il certificato root o l'auto-firmato nella lista dei centri di certificazione attendibili, in modo che all'utente non venga mostrato un errore durante la connessione al portale web. In questo esempio sar\u00e0 utilizzato un certificato emesso tramite il servizio di certificazione Active Directory Certificate Services.<\/p>\n
Per emettere un certificato \u00e8 necessario creare una richiesta di certificato nella sezione Device -> Certificate Management -> Certificates -> Generate<\/b>. Nella richiesta specifichiamo il nome del certificato e l'indirizzo IP o FQDN del portale web (fig. 16). Dopo aver generato la richiesta, scarichiamo .csr<\/b> file e copiamo il suo contenuto nel campo della richiesta del certificato nel modulo web AD CS Web Enrollment. A seconda della configurazione dell'autorit\u00e0 di certificazione, la richiesta del certificato deve essere approvata e il certificato emesso deve essere scaricato in formato Base64 Encoded Certificate<\/b>. Inoltre, \u00e8 necessario scaricare il certificato root dell'autorit\u00e0 di certificazione. Successivamente, \u00e8 necessario importare entrambi i certificati nel firewall. Durante l'importazione del certificato per il portale web \u00e8 necessario selezionare la richiesta con stato pending e fare clic su import. Il nome del certificato deve corrispondere al nome precedentemente specificato nella richiesta. Il nome del certificato root pu\u00f2 essere specificato liberamente. Dopo l'importazione del certificato, \u00e8 necessario creare SSL\/TLS Service Profile<\/b> nella sezione Device -> Certificate Management<\/b>. Nel profilo specifichiamo il certificato precedentemente importato. <\/p>\n
Figura 16 \u2013 Richiesta di certificato<\/i><\/p>\n
Il passo successivo \u00e8 la configurazione degli oggetti Gl\u043ebal Protect Gateway<\/b> e Global Protect Portal<\/b> nella sezione Network -> Global Protect<\/b>. Nelle impostazioni Gl\u043ebal Protect Gateway<\/b> specificiamo l'indirizzo IP esterno del firewall, nonch\u00e9 i precedentemente creati SSL Profile<\/b>, Profilo di Autenticazione<\/b>, interfaccia tunnel e impostazioni IP del client. \u00c8 necessario definire un pool di indirizzi IP dal quale verr\u00e0 assegnato l'indirizzo al client, e il percorso di accesso \u2013 le sotto-reti alle quali il client avr\u00e0 accesso. Se l'obiettivo \u00e8 instradare tutto il traffico dell'utente attraverso il firewall, \u00e8 necessario specificare la sotto-rete 0.0.0.0\/0 (fig. 17).<\/p>\n
Figura 17 \u2013 Configurazione del pool di indirizzi IP e dei percorsi<\/i><\/p>\n
Successivamente, \u00e8 necessario configurare Global Protect Portal<\/b>. Indichiamo l'indirizzo IP del firewall, SSL Profile<\/b> e Profilo di Autenticazione<\/b> e l'elenco degli indirizzi IP pubblici dei firewall a cui il client si connetter\u00e0. Se ci sono pi\u00f9 firewall, \u00e8 possibile impostare una priorit\u00e0 per ciascuno, secondo la quale gli utenti sceglieranno il firewall per la connessione.<\/p>\n
Nella sezione Dispositivo -> Client GlobalProtect<\/b> \u00e8 necessario scaricare il pacchetto del client VPN dai server di Palo Alto Networks e attivarlo. Per connettersi, l'utente deve accedere alla pagina web del portale, dove gli verr\u00e0 chiesto di scaricare Client GlobalProtect<\/b>. Dopo il download e l'installazione, sar\u00e0 possibile inserire le credenziali e connettersi alla rete aziendale tramite SSL VPN.<\/p>\nConclusione<\/h4>\n
\nA questo punto, la parte di configurazione di Palo Alto Networks \u00e8 terminata. Speriamo che le informazioni siano state utili e che il lettore abbia avuto un'idea delle tecnologie utilizzate in Palo Alto Networks. Se hai domande sulla configurazione o suggerimenti per gli argomenti dei futuri articoli, scrivili nei commenti, saremo felici di rispondere.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Peculiarit\u00e0](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")