{"id":32137,"date":"2019-10-31T21:45:21","date_gmt":"2019-10-31T18:45:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks\/"},"modified":"2019-10-31T21:45:21","modified_gmt":"2019-10-31T18:45:21","slug":"nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","title":{"rendered":"Configurazione di una VPN IPSec Site-to-Site su hardware Palo Alto Networks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configurazione
\n
\nQuesto articolo \u00e8 una continuazione del materiale precedente<\/a><\/noindex>, dedicato alle caratteristiche della configurazione dell'hardware Palo Alto Networks <\/b>. Qui vogliamo parlare della configurazione IPSec Site-to-Site VPN<\/b> sull'hardware Palo Alto Networks<\/b> e di un possibile schema di configurazione per collegare pi\u00f9 fornitori di servizi Internet.
\n<\/a><\/noindex>
\nPer la dimostrazione verr\u00e0 utilizzato uno schema standard di connessione tra la sede centrale e la filiale. Per garantire una connessione Internet resistente ai guasti, nella sede centrale viene utilizzata la connessione simultanea di due fornitori: ISP-1 e ISP-2. La filiale \u00e8 connessa solo a un fornitore, ISP-3. Tra i firewall PA-1 e PA-2 vengono creati due tunnel. I tunnel operano in modalit\u00e0 Active-Standby<\/b>, Tunnel-1 \u00e8 attivo, Tunnel-2 inizier\u00e0 a trasmettere il traffico in caso di guasto di Tunnel-1. Tunnel-1 utilizza la connessione al fornitore di servizi Internet ISP-1, Tunnel-2 utilizza la connessione al fornitore di servizi Internet ISP-2. Tutti gli indirizzi IP sono stati generati casualmente per scopi dimostrativi e non hanno attinenza con la realt\u00e0.<\/p>\n

\"Configurazione
\n
\nPer costruire il Site-to-Site VPN verr\u00e0 utilizzato IPSec<\/b> \u2014 un insieme di protocolli per garantire la protezione dei dati trasmessi tramite il protocollo IP. IPSec <\/b>funzioner\u00e0 utilizzando il protocollo di sicurezza ESP <\/b>(Encapsulating Security Payload), che garantir\u00e0 la crittografia dei dati trasmessi.<\/p>\n

In IPSec <\/b>include IKE <\/b>(Internet Key Exchange) \u2014 protocollo responsabile della negoziazione delle SA (associazioni di sicurezza), i parametri di sicurezza utilizzati per proteggere i dati trasmessi. I firewall PAN supportano IKEv1 <\/b>e IKEv2<\/b>.<\/p>\n

In IKEv1 <\/b>La connessione VPN viene costruita in due fasi: IKEv1 Fase 1 <\/b>(tunnel IKE) e IKEv1 Fase 2<\/b> (tunnel IPSec), creando cos\u00ec due tunnel, uno dei quali serve per lo scambio di informazioni di servizio tra i firewall, l'altro per la trasmissione del traffico. In IKEv1 Fase 1<\/b> esistono due modalit\u00e0 operative \u2014 main mode e aggressive mode. L'aggressive mode utilizza meno messaggi e funziona pi\u00f9 velocemente, ma non supporta la Protezione dell'Identit\u00e0 del Peer.<\/p>\n

IKEv2 <\/b>sostituisce IKEv1<\/b>, e rispetto a IKEv1<\/b> il suo principale vantaggio \u00e8 il minore fabbisogno di larghezza di banda e una pi\u00f9 rapida negoziazione delle SA. In IKEv2<\/b> vengono utilizzati meno messaggi di servizio (solo 4), \u00e8 supportato il protocollo EAP, MOBIKE ed \u00e8 stato aggiunto un meccanismo di controllo della disponibilit\u00e0 del peer, con cui viene creato il tunnel \u2014 Liveness Check<\/b>, che sostituisce il Dead Peer Detection in IKEv1. Se il controllo non va a buon fine, allora IKEv2 <\/b>pu\u00f2 ripristinare il tunnel e poi ripristinarlo automaticamente alla prima opportunit\u00e0. Maggiori dettagli sulle differenze possono leggere qui<\/a><\/noindex>.<\/p>\n

Se il tunnel viene creato tra firewall di diversi produttori, potrebbero esserci bug nell'implementazione IKEv2<\/b>, e per la compatibilit\u00e0 con tali attrezzature c'\u00e8 la possibilit\u00e0 di utilizzare IKEv1<\/b>. Negli altri casi \u00e8 meglio applicare IKEv2<\/b>.<\/p>\n

Fasi di configurazione:<\/p>\n

\u2022 Configurazione di due fornitori Internet in modalit\u00e0 ActiveStandby<\/b><\/p>\n

Ci sono diversi modi per implementare questa funzione. Uno di questi consiste nell'utilizzare il meccanismo Path Monitoring<\/b>, reso disponibile a partire dalla versione PAN-OS 8.0.0<\/b>. In questo esempio viene utilizzata la versione 8.0.16. Questa funzione \u00e8 simile a IP SLA nei router Cisco. Nel parametro della rotta statica predefinita viene configurata l'invio di pacchetti ping a un determinato indirizzo IP da un indirizzo sorgente specifico. In questo caso, l'interfaccia ethernet1\/1 esegue il ping sul gateway predefinito una volta al secondo. Se non ci sono risposte per tre ping consecutivi, la rotta viene considerata non operativa e rimossa dalla tabella di routing. Una rotta simile viene configurata verso il secondo fornitore Internet, ma con una metrica maggiore (\u00e8 di riserva). Non appena la prima rotta viene rimossa dalla tabella, il firewall inizier\u00e0 a inviare traffico tramite la seconda rotta \u2014 Fail-Over<\/b>. Quando il primo fornitore inizia a rispondere ai ping, la sua rotta torna nella tabella e sostituisce la seconda a causa della migliore metrica \u2014 Fail-Back<\/b>. Il processo Fail-Over<\/b> richiede alcuni secondi a seconda degli intervalli configurati, ma, in ogni caso, il processo non \u00e8 immediato e durante questo tempo il traffico viene perso. Fail-Back<\/b> si svolge senza perdita di traffico. \u00c8 possibile renderlo Fail-Over<\/b> pi\u00f9 veloce, grazie a BFD<\/b>, se il fornitore Internet offre tale possibilit\u00e0. BFD <\/b>\u00e8 supportato a partire dal modello PA-3000 Series<\/b> e VM-100<\/b>. Come indirizzo per il ping \u00e8 meglio specificare un indirizzo Internet pubblico, sempre disponibile, anzich\u00e9 il gateway del fornitore.<\/p>\n

\"Configurazione
\n
\n\u2022 Creazione di un'interfaccia tunnel<\/b><\/p>\n

Il traffico all'interno del tunnel viene trasmesso tramite interfacce virtuali speciali. Ognuna di esse deve essere configurata con un indirizzo IP dalla rete di transito. In questo esempio per Tunnel-1 verr\u00e0 utilizzato il sottorete 172.16.1.0\/30, mentre per Tunnel-2 sar\u00e0 utilizzata la sottorete 172.16.2.0\/30.
\nL'interfaccia tunnel viene creata nella sezione Network -> Interfaces -> Tunnel<\/b>. \u00c8 necessario specificare il router virtuale e la zona di sicurezza, nonch\u00e9 l'indirizzo IP della rete di trasporto corrispondente. Il numero dell'interfaccia pu\u00f2 essere qualsiasi.<\/p>\n

\"Configurazione
\n
\n\"Configurazione
\n
\nNella sezione Avanzato <\/b>si pu\u00f2 specificare Profilo di gestione<\/b>, che consentir\u00e0 il ping su questa interfaccia, utile per i test.<\/p>\n

\"Configurazione
\n
\n\u2022 Configurazione del profilo IKE<\/b><\/p>\n

Profilo IKE<\/b> \u00e8 responsabile della prima fase della creazione di una connessione VPN, qui vengono specificati i parametri del tunnel. Fase I IKE<\/b>. Il profilo viene creato nella sezione Network -> Network Profiles -> IKE Crypto<\/b>. \u00c8 necessario specificare l'algoritmo di crittografia, di hashing, il gruppo di Diffie-Hellman e la durata delle chiavi. In generale, pi\u00f9 complessi sono gli algoritmi, peggiore \u00e8 la prestazione; devono essere selezionati in base ai requisiti specifici di sicurezza. Tuttavia, si sconsiglia categoricamente di utilizzare un gruppo di Diffie-Hellman inferiore a 14 per proteggere informazioni sensibili. Ci\u00f2 \u00e8 dovuto a una vulnerabilit\u00e0 del protocollo, che pu\u00f2 essere mitigata solo utilizzando dimensioni modulo di 2048 bit o superiori, oppure algoritmi di crittografia ellittica, utilizzati nei gruppi 19, 20, 21, 24. Questi algoritmi offrono prestazioni migliori rispetto alla crittografia tradizionale. Ulteriori dettagli qui<\/a><\/noindex>. E qui<\/a><\/noindex>.<\/p>\n

\"Configurazione
\n
\n\u2022 Configurazione del profilo IPSec<\/b><\/p>\n

La seconda fase della creazione della connessione VPN \u00e8 il tunnel IPSec. I parametri SA per esso sono configurabili in Network -> Network Profiles -> IPSec Crypto Profile<\/b>. Qui \u00e8 necessario specificare il protocollo IPSec \u2014 AH <\/b>oppure ESP<\/b>, nonch\u00e9 i parametri SA <\/b> \u2014 algoritmi di hashing, di crittografia, gruppi di Diffie-Hellman e durata delle chiavi. I parametri SA nel profilo IKE Crypto e nel profilo IPSec Crypto potrebbero non coincidere.<\/p>\n

\"Configurazione
\n
\n\u2022 Configurazione del gateway IKE<\/b><\/p>\n

Gateway IKE<\/b> \u00e8 un oggetto che indica il router o il firewall con cui viene stabilito il tunnel VPN. Per ogni tunnel \u00e8 necessario creare il proprio Gateway IKE<\/b>. In questo caso, vengono creati due tunnel, uno attraverso ciascun fornitore di servizi Internet. Si specificano l'interfaccia di uscita corrispondente e il suo indirizzo IP, l'indirizzo IP del peer e la chiave condivisa. In alternativa alla chiave condivisa, \u00e8 possibile utilizzare certificati.<\/p>\n

\"Configurazione
\n
\nQui si specifica il gi\u00e0 creato Profilo IKE Crypto<\/b>. I parametri del secondo oggetto Gateway IKE<\/b> sono analoghi, eccetto per gli indirizzi IP. Se il firewall Palo Alto Networks si trova dietro un router NAT, \u00e8 necessario attivare il meccanismo NAT Traversal<\/b>.<\/p>\n

\"Configurazione
\n
\n\u2022 Configurazione del tunnel IPSec<\/b><\/p>\n

Tunnel IPSec<\/b> \u00e8 un oggetto in cui vengono specificati i parametri del tunnel IPSec, come suggerisce il nome. Qui \u00e8 necessario specificare l'interfaccia del tunnel e gli oggetti precedentemente creati. Gateway IKE<\/b>, Profilo Crypto IPSec<\/b>. Per garantire il passaggio automatico della routizzazione al tunnel di riserva, \u00e8 necessario attivare Tunnel Monitor<\/b>. Questo \u00e8 un meccanismo che verifica se il peer \u00e8 attivo tramite traffico ICMP. Come indirizzo di destinazione, deve essere specificato l'indirizzo IP dell'interfaccia tunnel del peer con cui viene stabilito il tunnel. Nel profilo vengono specificati i timer e l'azione in caso di perdita di connessione. Aspetta recupero<\/b> \u2013 attendere finch\u00e9 la connessione non si ripristina, Fail Over<\/b> \u2013 inviare il traffico tramite un altro percorso, se disponibile. La configurazione del secondo tunnel \u00e8 completamente analoga, deve essere specificata la seconda interfaccia tunnel e il Gateway IKE.<\/p>\n

\"Configurazione
\n
\n\"Configurazione
\n
\n\u2022 Configurazione della routizzazione<\/b><\/p>\n

In questo esempio viene utilizzata la routizzazione statica. Sul firewall PA-1 \u00e8 necessario, oltre ai due percorsi predefiniti, specificare due percorsi verso la subnet 10.10.10.0\/24 nella filiale. Un percorso utilizza Tunnel-1, l'altro Tunnel-2. Il percorso attraverso Tunnel-1 \u00e8 principale poich\u00e9 ha una metrica inferiore. Il meccanismo Path Monitoring<\/b> per questi percorsi non viene utilizzato. Il passaggio \u00e8 gestito da Tunnel Monitor<\/b>.<\/p>\n

\"Configurazione
\n
\nPercorsi analoghi per la subnet 192.168.30.0\/24 devono essere configurati su PA-2.<\/p>\n

\"Configurazione
\n
\n\u2022 Configurazione delle regole di rete<\/b><\/p>\n

Per il funzionamento del tunnel sono necessarie tre regole:<\/p>\n

    \n
  1. Per funzionare Path Monitor<\/b> consentire ICMP sulle interfacce esterne.<\/li>\n
  2. Per IPSec <\/b>consentire le applicazioni ike <\/b>e ipsec <\/b>sulle interfacce esterne.<\/li>\n
  3. Consentire il traffico tra le subnet interne e le interfacce tunnel.<\/li>\n<\/ol>\n

    \n\"Configurazione
    \n
    \nConclusione<\/b><\/p>\n

    In questo articolo viene esaminata l'opzione di configurazione di una connessione Internet ad alta disponibilit\u00e0 e Site-to-Site VPN<\/b>. Speriamo che le informazioni siano state utili e che il lettore abbia acquisito una comprensione delle tecnologie utilizzate in Palo Alto Networks<\/b>. Se avete domande sulla configurazione o suggerimenti per argomenti di articoli futuri, scriveteli nei commenti, saremo felici di rispondere.
    \n
    Fonte:     habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

    \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u0435 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u044f Palo Alto Networks . \u0417\u0434\u0435\u0441\u044c \u043c\u044b \u0445\u043e\u0442\u0438\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 IPSec Site-to-Site VPN \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 Palo Alto Networks \u0438 \u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432. \u0414\u043b\u044f \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0430 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0433\u043e\u043b\u043e\u0432\u043d\u043e\u0433\u043e \u043e\u0444\u0438\u0441\u0430 \u043a \u0444\u0438\u043b\u0438\u0430\u043b\u0443. \u0414\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u043e\u0442\u043a\u0430\u0437\u043e\u0443\u0441\u0442\u043e\u0439\u0447\u0438\u0432\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23973,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Configurazione IPSec Site-to-Site VPN su hardware Palo Alto Networks | ProHoster","description":"Questo articolo.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 IPSec Site-to-Site VPN \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 Palo Alto Networks | ProHoster","og:description":"\u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:45:21+00:00","article:modified_time":"2019-10-31T18:45:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"32137","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 09:27:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:04:40","updated":"2026-01-21 09:27:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/32137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=32137"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/32137\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/23973"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=32137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=32137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=32137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}