Palo Alto Networks-ის დაყენების მახასიათებლები: SSL VPN

მიუხედავად Palo Alto Networks Firewall-ის ყველა უპირატესობისა, RuNet-ზე არ არის ბევრი მასალა ამ მოწყობილობების დაყენების შესახებ, ისევე როგორც ტექსტები, რომლებიც აღწერს მათ განხორციელების გამოცდილებას. გადავწყვიტეთ შევაჯამოთ ის მასალები, რომლებიც დაგროვდა ამ გამყიდველის აღჭურვილობასთან მუშაობის დროს და გვესაუბრა იმ მახასიათებლებზე, რომლებიც შეგვხვდა სხვადასხვა პროექტების განხორციელებისას.

Palo Alto Networks-ის გასაცნობად, ეს სტატია განიხილავს კონფიგურაციას, რომელიც საჭიროა Firewall-ის ერთ-ერთი ყველაზე გავრცელებული პრობლემის გადასაჭრელად - SSL VPN დისტანციური წვდომისთვის. ჩვენ ასევე ვისაუბრებთ სასარგებლო ფუნქციებზე ზოგადი firewall-ის კონფიგურაციის, მომხმარებლის იდენტიფიკაციის, აპლიკაციებისა და უსაფრთხოების პოლიტიკის შესახებ. თუ თემა საინტერესოა მკითხველისთვის, მომავალში ჩვენ გამოვაქვეყნებთ მასალებს, რომლებიც აანალიზებენ საიტიდან საიტის VPN-ს, დინამიურ მარშრუტიზაციას და ცენტრალიზებულ მენეჯმენტს პანორამის გამოყენებით.

Palo Alto Networks-ის ბუხარი იყენებს უამრავ ინოვაციურ ტექნოლოგიას, მათ შორის App-ID, User-ID, Content-ID. ამ ფუნქციის გამოყენება საშუალებას გაძლევთ უზრუნველყოთ უსაფრთხოების მაღალი დონე. მაგალითად, App-ID-ით შესაძლებელია აპლიკაციის ტრაფიკის იდენტიფიცირება ხელმოწერების, დეკოდირების და ევრისტიკის საფუძველზე, მიუხედავად გამოყენებული პორტისა და პროტოკოლისა, მათ შორის SSL გვირაბის შიგნით. User-ID საშუალებას გაძლევთ ამოიცნოთ ქსელის მომხმარებლები LDAP ინტეგრაციის საშუალებით. Content-ID შესაძლებელს ხდის ტრაფიკის სკანირებას და გადაცემული ფაილების და მათი შინაარსის იდენტიფიცირებას. Firewall-ის სხვა ფუნქციებში შედის თავდასხმისგან დაცვა, დაუცველობისგან და DoS შეტევებისგან დაცვა, ჩაშენებული ანტი-სპივერული პროგრამა, URL ფილტრაცია, კლასტერიზაცია და ცენტრალიზებული მართვა.

დემონსტრირებისთვის ჩვენ გამოვიყენებთ იზოლირებულ სტენდს, კონფიგურაციით, რომელიც იდენტურია რეალურის, გარდა მოწყობილობის სახელებისა, AD დომენის სახელისა და IP მისამართებისა. სინამდვილეში, ყველაფერი უფრო რთულია - შეიძლება ბევრი ფილიალი იყოს. ამ შემთხვევაში, ერთი firewall-ის ნაცვლად, ცენტრალური საიტების საზღვრებზე დამონტაჟდება კლასტერი და შესაძლოა საჭირო გახდეს დინამიური მარშრუტიზაცია.

გამოიყენება სტენდზე Pan-OS 7.1.9. როგორც ტიპიური კონფიგურაცია, განიხილეთ ქსელი, რომელსაც აქვს Palo Alto Networks firewall კიდეზე. Firewall უზრუნველყოფს დისტანციური SSL VPN წვდომას სათაო ოფისში. Active Directory დომენი გამოყენებული იქნება მომხმარებლის მონაცემთა ბაზად (სურათი 1).

სურათი 1 – ქსელის ბლოკის დიაგრამა

დაყენების ნაბიჯები:

1. მოწყობილობის წინასწარი კონფიგურაცია. სახელის, მართვის IP მისამართის, სტატიკური მარშრუტების, ადმინისტრატორის ანგარიშების, მართვის პროფილების დაყენება
2. ლიცენზიების ინსტალაცია, განახლებების კონფიგურაცია და ინსტალაცია
3. უსაფრთხოების ზონების, ქსელური ინტერფეისების, საგზაო მოძრაობის წესების, მისამართების თარგმნის კონფიგურაცია
4. LDAP ავთენტიფიკაციის პროფილის და მომხმარებლის იდენტიფიკაციის ფუნქციის კონფიგურაცია
5. SSL VPN-ის დაყენება

1. წინასწარ დაყენებული

Palo Alto Networks firewall-ის კონფიგურაციის მთავარი ინსტრუმენტი არის ვებ ინტერფეისი; ასევე შესაძლებელია მართვა CLI-ით. ნაგულისხმევად, მართვის ინტერფეისი დაყენებულია IP მისამართზე 192.168.1.1/24, შესვლა: admin, პაროლი: admin.

თქვენ შეგიძლიათ შეცვალოთ მისამართი იმავე ქსელიდან ვებ ინტერფეისთან დაკავშირებით ან ბრძანების გამოყენებით მოწყობილობის კონფიგურაციის სისტემის ip-მისამართის დაყენება <> ქსელის ნიღაბი <>. იგი შესრულებულია კონფიგურაციის რეჟიმში. კონფიგურაციის რეჟიმში გადასასვლელად გამოიყენეთ ბრძანება კონფიგურაციის. Firewall-ზე ყველა ცვლილება ხდება მხოლოდ მას შემდეგ, რაც პარამეტრები დადასტურებულია ბრძანებით ჩაიდინოს, როგორც ბრძანების ხაზის რეჟიმში, ასევე ვებ ინტერფეისში.

ვებ ინტერფეისის პარამეტრების შესაცვლელად გამოიყენეთ განყოფილება მოწყობილობა -> ზოგადი პარამეტრები და მოწყობილობა -> მართვის ინტერფეისის პარამეტრები. სახელი, ბანერები, დროის ზონა და სხვა პარამეტრების დაყენება შესაძლებელია ზოგადი პარამეტრების განყოფილებაში (ნახ. 2).

სურათი 2 – მართვის ინტერფეისის პარამეტრები

თუ იყენებთ ვირტუალურ ფაიერვოლს ESXi გარემოში, ზოგადი პარამეტრების განყოფილებაში უნდა ჩართოთ ჰიპერვიზორის მიერ მინიჭებული MAC მისამართის გამოყენება, ან დააკონფიგურიროთ ჰიპერვიზორის firewall-ის ინტერფეისებზე მითითებული MAC მისამართები, ან შეცვალოთ პარამეტრები. ვირტუალური გადამრთველები, რათა MAC ცვლის მისამართებს. წინააღმდეგ შემთხვევაში, მოძრაობა არ გაივლის.

მართვის ინტერფეისი კონფიგურირებულია ცალკე და არ არის ნაჩვენები ქსელის ინტერფეისების სიაში. თავში მართვის ინტერფეისის პარამეტრები განსაზღვრავს ნაგულისხმევ კარიბჭეს მართვის ინტერფეისისთვის. სხვა სტატიკური მარშრუტები კონფიგურირებულია ვირტუალური მარშრუტიზატორების განყოფილებაში; ეს მოგვიანებით იქნება განხილული.

სხვა ინტერფეისების საშუალებით მოწყობილობაზე წვდომის დასაშვებად, თქვენ უნდა შექმნათ მართვის პროფილი მართვის პროფილი სექციაში ქსელი -> ქსელის პროფილები -> ინტერფეისი Mgmt და მიაკუთვნეთ იგი შესაბამის ინტერფეისს.

შემდეგი, თქვენ უნდა დააკონფიგურიროთ DNS და NTP განყოფილებაში მოწყობილობა -> სერვისები განახლებების მისაღებად და დროის სწორად ჩვენებისთვის (ნახ. 3). ნაგულისხმევად, firewall-ის მიერ გენერირებული მთელი ტრაფიკი იყენებს მართვის ინტერფეისის IP მისამართს, როგორც მის წყაროს IP მისამართს. განყოფილებაში შეგიძლიათ დანიშნოთ განსხვავებული ინტერფეისი თითოეული კონკრეტული სერვისისთვის სერვისის მარშრუტის კონფიგურაცია.

სურათი 3 – DNS, NTP და სისტემის მარშრუტების სერვისის პარამეტრები

2. ლიცენზიების დაყენება, განახლებების დაყენება და ინსტალაცია

Firewall-ის ყველა ფუნქციის სრული ფუნქციონირებისთვის, თქვენ უნდა დააინსტალიროთ ლიცენზია. თქვენ შეგიძლიათ გამოიყენოთ საცდელი ლიცენზია Palo Alto Networks-ის პარტნიორებისგან მისი მოთხოვნით. მისი მოქმედების ვადა 30 დღეა. ლიცენზია გააქტიურებულია ან ფაილის საშუალებით ან Auth-Code-ის გამოყენებით. ლიცენზიები კონფიგურირებულია განყოფილებაში მოწყობილობა -> ლიცენზიები (ნახ. 4).
ლიცენზიის დაყენების შემდეგ, თქვენ უნდა დააკონფიგურიროთ განახლებების ინსტალაცია განყოფილებაში მოწყობილობა -> დინამიური განახლებები.
ნაწილში მოწყობილობა -> პროგრამული უზრუნველყოფა შეგიძლიათ ჩამოტვირთოთ და დააინსტალიროთ PAN-OS-ის ახალი ვერსიები.

სურათი 4 - ლიცენზიის მართვის პანელი

3. უსაფრთხოების ზონების, ქსელური ინტერფეისების, მოძრაობის პოლიტიკის, მისამართების თარგმნის კონფიგურაცია

Palo Alto Networks-ის ბუხარი იყენებს ზონის ლოგიკას ქსელის წესების კონფიგურაციისას. ქსელის ინტერფეისები ენიჭება კონკრეტულ ზონას და ეს ზონა გამოიყენება მოძრაობის წესებში. ეს მიდგომა საშუალებას აძლევს მომავალში, ინტერფეისის პარამეტრების შეცვლისას, არ შეცვალოს მოძრაობის წესები, არამედ გადაანაწილოს საჭირო ინტერფეისები შესაბამის ზონებში. ნაგულისხმევად, მოძრაობა ზონაში დაშვებულია, ზონებს შორის მოძრაობა აკრძალულია, ამაზე პასუხისმგებელია წინასწარ განსაზღვრული წესები intrazone-ნაგულისხმევი и interzone-fault.

სურათი 5 – უსაფრთხოების ზონები

ამ მაგალითში ინტერფეისი შიდა ქსელში ენიჭება ზონას შიდა, და ინტერფეისი ინტერნეტის წინაშე დგას ზონაში გარე. SSL VPN-სთვის შეიქმნა გვირაბის ინტერფეისი და მინიჭებული აქვს ზონას VPN (ნახ. 5).

Palo Alto Networks firewall ქსელის ინტერფეისებს შეუძლიათ ფუნქციონირება ხუთ სხვადასხვა რეჟიმში:

• Tap - გამოიყენება ტრაფიკის შესაგროვებლად მონიტორინგისა და ანალიზის მიზნებისთვის
• HA - გამოიყენება კასეტური მუშაობისთვის
• ვირტუალური მავთული – ამ რეჟიმში, Palo Alto Networks აერთიანებს ორ ინტერფეისს და გამჭვირვალედ გადასცემს მათ შორის ტრაფიკს MAC და IP მისამართების შეცვლის გარეშე.
• Layer2 - გადართვის რეჟიმი
• Layer3 - როუტერის რეჟიმი

სურათი 6 - ინტერფეისის მუშაობის რეჟიმის დაყენება

ამ მაგალითში გამოყენებული იქნება Layer3 რეჟიმი (ნახ. 6). ქსელის ინტერფეისის პარამეტრები მიუთითებს IP მისამართს, ოპერაციულ რეჟიმს და შესაბამის უსაფრთხოების ზონას. ინტერფეისის ოპერაციული რეჟიმის გარდა, თქვენ უნდა მიაკუთვნოთ იგი ვირტუალური როუტერის ვირტუალურ როუტერს, ეს არის VRF ინსტანციის ანალოგი Palo Alto Networks-ში. ვირტუალური მარშრუტიზატორები იზოლირებულია ერთმანეთისგან და აქვთ საკუთარი მარშრუტიზაციის ცხრილები და ქსელის პროტოკოლის პარამეტრები.

ვირტუალური როუტერის პარამეტრები განსაზღვრავს სტატიკური მარშრუტებისა და მარშრუტიზაციის პროტოკოლის პარამეტრებს. ამ მაგალითში მხოლოდ ნაგულისხმევი მარშრუტი შეიქმნა გარე ქსელებზე წვდომისთვის (ნახ. 7).

სურათი 7 - ვირტუალური როუტერის დაყენება

კონფიგურაციის შემდეგი ეტაპი არის ტრაფიკის პოლიტიკა, განყოფილება პოლიტიკა -> უსაფრთხოება. კონფიგურაციის მაგალითი ნაჩვენებია სურათზე 8. წესების ლოგიკა იგივეა, რაც ყველა ფეიერვოლისთვის. წესები შემოწმებულია ზემოდან ქვემოდან, პირველ მატჩამდე. წესების მოკლე აღწერა:

1. SSL VPN წვდომა ვებ პორტალზე. საშუალებას აძლევს ვებ პორტალზე წვდომას დისტანციური კავშირების ავთენტიფიკაციისთვის
2. VPN ტრაფიკი – საშუალებას აძლევს ტრაფიკს დისტანციურ კავშირებსა და სათაო ოფისს შორის
3. ძირითადი ინტერნეტი - dns, ping, traceroute, ntp აპლიკაციების დაშვება. Firewall საშუალებას აძლევს აპლიკაციებს, რომლებიც დაფუძნებულია ხელმოწერებზე, გაშიფვრაზე და ევრისტიკაზე და არა პორტის ნომრებზე და პროტოკოლებზე, რის გამოც სერვისის განყოფილებაში ნათქვამია განაცხადის ნაგულისხმევი. ნაგულისხმევი პორტი/პროტოკოლი ამ აპლიკაციისთვის
4. ვებ წვდომა – ნებადართულია ინტერნეტთან წვდომა HTTP და HTTPS პროტოკოლებით აპლიკაციის კონტროლის გარეშე
5,6. ნაგულისხმევი წესები სხვა ტრაფიკისთვის.

სურათი 8 - ქსელის წესების დაყენების მაგალითი

NAT-ის კონფიგურაციისთვის გამოიყენეთ განყოფილება პოლიტიკა -> NAT. NAT კონფიგურაციის მაგალითი ნაჩვენებია სურათზე 9.

სურათი 9 - NAT კონფიგურაციის მაგალითი

ნებისმიერი ტრაფიკისთვის შიდადან გარედან, შეგიძლიათ შეცვალოთ წყაროს მისამართი ბუხარლის გარე IP მისამართით და გამოიყენოთ დინამიური პორტის მისამართი (PAT).

4. LDAP ავთენტიფიკაციის პროფილის და მომხმარებლის იდენტიფიკაციის ფუნქციის კონფიგურაცია
SSL-VPN-ის საშუალებით მომხმარებლების დაკავშირებამდე, თქვენ უნდა დააკონფიგურიროთ ავტორიზაციის მექანიზმი. ამ მაგალითში, ავტორიზაცია მოხდება Active Directory დომენის კონტროლერთან Palo Alto Networks ვებ ინტერფეისის მეშვეობით.

სურათი 10 - LDAP პროფილი

იმისთვის, რომ ავთენტიფიკაცია იმუშაოს, საჭიროა კონფიგურაცია LDAP პროფილი и ავტორიზაციის პროფილი... თავში მოწყობილობა -> სერვერის პროფილები -> LDAP (ნახ. 10) თქვენ უნდა მიუთითოთ დომენის კონტროლერის IP მისამართი და პორტი, LDAP ტიპი და მომხმარებლის ანგარიში, რომელიც შედის ჯგუფებში. სერვერის ოპერატორები, ღონისძიების ჟურნალის მკითხველი, განაწილებული COM მომხმარებლები. შემდეგ განყოფილებაში მოწყობილობა -> ავტორიზაციის პროფილი შექმენით ავტორიზაციის პროფილი (ნახ. 11), მონიშნეთ ადრე შექმნილი LDAP პროფილი ხოლო Advanced ჩანართში მივუთითებთ მომხმარებელთა ჯგუფს (ნახ. 12), რომლებსაც აქვთ დისტანციური წვდომის უფლება. მნიშვნელოვანია გაითვალისწინოთ პარამეტრი თქვენს პროფილში მომხმარებლის დომენი, წინააღმდეგ შემთხვევაში ჯგუფზე დაფუძნებული ავტორიზაცია არ იმუშავებს. ველში უნდა იყოს მითითებული NetBIOS დომენის სახელი.

სურათი 11 – ავტორიზაციის პროფილი

სურათი 12 – AD ჯგუფის შერჩევა

შემდეგი ეტაპი არის დაყენება მოწყობილობა -> მომხმარებლის იდენტიფიკაცია. აქ თქვენ უნდა მიუთითოთ დომენის კონტროლერის IP მისამართი, კავშირის სერთიფიკატები და ასევე პარამეტრების კონფიგურაცია ჩართეთ უსაფრთხოების ჟურნალი, ჩართეთ სესია, პრობირების ჩართვა (სურ. 13). თავში ჯგუფური რუქა (ნახ. 14) თქვენ უნდა გაითვალისწინოთ LDAP-ში ობიექტების იდენტიფიკაციის პარამეტრები და ჯგუფების სია, რომლებიც გამოყენებული იქნება ავტორიზაციისთვის. ისევე, როგორც ავტორიზაციის პროფილში, აქ თქვენ უნდა დააყენოთ მომხმარებლის დომენის პარამეტრი.

სურათი 13 – მომხმარებლის რუკების პარამეტრები

სურათი 14 – ჯგუფური რუკების პარამეტრები

ამ ფაზის ბოლო ნაბიჯი არის VPN ზონის და ამ ზონისთვის ინტერფეისის შექმნა. თქვენ უნდა ჩართოთ პარამეტრი ინტერფეისზე ჩართეთ მომხმარებლის იდენტიფიკაცია (ნახ. 15).

სურათი 15 – VPN ზონის დაყენება

5. SSL VPN-ის დაყენება

SSL VPN-თან დაკავშირებამდე, დისტანციური მომხმარებელი უნდა გადავიდეს ვებ პორტალზე, დაადასტუროს და ჩამოტვირთოთ Global Protect კლიენტი. შემდეგი, ეს კლიენტი მოითხოვს რწმუნებათა სიგელებს და დაუკავშირდება კორპორატიულ ქსელს. ვებ პორტალი მუშაობს https რეჟიმში და, შესაბამისად, თქვენ უნდა დააინსტალიროთ სერტიფიკატი. თუ ეს შესაძლებელია, გამოიყენეთ საჯარო სერტიფიკატი. მაშინ მომხმარებელი არ მიიღებს გაფრთხილებას საიტზე სერტიფიკატის ბათილობის შესახებ. თუ შეუძლებელია საჯარო სერტიფიკატის გამოყენება, მაშინ თქვენ უნდა გასცეთ თქვენი, რომელიც გამოყენებული იქნება ვებ გვერდზე https-ისთვის. ის შეიძლება იყოს ხელმოწერილი ან გაცემული ადგილობრივი სერტიფიკატის ორგანოს მეშვეობით. დისტანციურ კომპიუტერს უნდა ჰქონდეს root ან ხელმოწერილი სერტიფიკატი სანდო root ავტორიტეტების სიაში, რათა მომხმარებელმა არ მიიღოს შეცდომა ვებ პორტალთან დაკავშირებისას. ეს მაგალითი გამოიყენებს სერთიფიკატს, რომელიც გაცემულია Active Directory Certificate Services-ის მეშვეობით.

სერტიფიკატის გასაცემად, თქვენ უნდა შექმნათ სერტიფიკატის მოთხოვნა განყოფილებაში მოწყობილობა -> სერთიფიკატის მენეჯმენტი -> სერთიფიკატები -> გენერირება. მოთხოვნაში ვნიშნავთ სერტიფიკატის სახელს და ვებპორტალის IP მისამართს ან FQDN-ს (სურ. 16). მოთხოვნის გენერირების შემდეგ, გადმოწერეთ .CSR დააკოპირეთ მისი შინაარსი სერტიფიკატის მოთხოვნის ველში AD CS Web Enrollment ვებ ფორმაში. იმის მიხედვით, თუ როგორ არის კონფიგურირებული სერტიფიკატის უფლებამოსილება, სერთიფიკატის მოთხოვნა უნდა დამტკიცდეს და გაცემული სერტიფიკატი უნდა ჩამოიტვირთოს ფორმატში Base64 კოდირებული სერთიფიკატი. გარდა ამისა, თქვენ უნდა ჩამოტვირთოთ სერტიფიცირების ორგანოს ძირეული სერტიფიკატი. შემდეგ თქვენ უნდა შემოიტანოთ ორივე სერთიფიკატი firewall-ში. ვებ პორტალზე სერთიფიკატის იმპორტისას, თქვენ უნდა აირჩიოთ მოთხოვნა მომლოდინე სტატუსში და დააწკაპუნოთ იმპორტზე. სერტიფიკატის სახელი უნდა ემთხვეოდეს მოთხოვნაში ადრე მითითებულ სახელს. ძირეული სერტიფიკატის სახელი შეიძლება თვითნებურად იყოს მითითებული. სერთიფიკატის იმპორტის შემდეგ, თქვენ უნდა შექმნათ SSL/TLS სერვისის პროფილი სექციაში მოწყობილობა -> სერთიფიკატის მენეჯმენტი. პროფილში ჩვენ მივუთითებთ ადრე იმპორტირებულ სერტიფიკატს.

სურათი 16 – სერთიფიკატის მოთხოვნა

შემდეგი ნაბიჯი არის ობიექტების დაყენება Global Protect Gateway и Global Protect პორტალი სექციაში ქსელი -> გლობალური დაცვა... პარამეტრებში Global Protect Gateway მიუთითეთ firewall-ის გარე IP მისამართი, ისევე როგორც ადრე შექმნილი SSL პროფილი, ავტორიზაციის პროფილი, გვირაბის ინტერფეისი და კლიენტის IP პარამეტრები. თქვენ უნდა მიუთითოთ IP მისამართების აუზი, საიდანაც მისამართი მიენიჭება კლიენტს, ხოლო Access Route - ეს არის ქვექსელები, რომლებზეც კლიენტს ექნება მარშრუტი. თუ ამოცანაა მომხმარებლის მთელი ტრაფიკის გადატანა Firewall-ის მეშვეობით, მაშინ თქვენ უნდა მიუთითოთ ქვექსელი 0.0.0.0/0 (ნახ. 17).

სურათი 17 – IP მისამართებისა და მარშრუტების ჯგუფის კონფიგურაცია

შემდეგ თქვენ უნდა დააკონფიგურიროთ Global Protect პორტალი. მიუთითეთ firewall-ის IP მისამართი, SSL პროფილი и ავტორიზაციის პროფილი და Firewall-ების გარე IP მისამართების სია, რომლებსაც კლიენტი დაუკავშირდება. თუ არსებობს რამდენიმე firewall, შეგიძლიათ დააყენოთ პრიორიტეტი თითოეულისთვის, რომლის მიხედვითაც მომხმარებლები აირჩევენ Firewall-ს დასაკავშირებლად.

ნაწილში მოწყობილობა -> GlobalProtect კლიენტი თქვენ უნდა ჩამოტვირთოთ VPN კლიენტის განაწილება Palo Alto Networks სერვერებიდან და გაააქტიუროთ იგი. დასაკავშირებლად, მომხმარებელი უნდა გადავიდეს პორტალის ვებ გვერდზე, სადაც მას მოეთხოვება ჩამოტვირთვა GlobalProtect კლიენტი. ჩამოტვირთვისა და ინსტალაციის შემდეგ, შეგიძლიათ შეიყვანოთ თქვენი რწმუნებათა სიგელები და დაუკავშირდეთ თქვენს კორპორატიულ ქსელს SSL VPN-ის საშუალებით.

დასკვნა

ეს ასრულებს დაყენების Palo Alto Networks ნაწილს. ვიმედოვნებთ, რომ ინფორმაცია სასარგებლო იყო და მკითხველმა გაიგო Palo Alto Networks-ში გამოყენებული ტექნოლოგიები. თუ თქვენ გაქვთ შეკითხვები დაყენების შესახებ და წინადადებები მომავალი სტატიების თემებზე, დაწერეთ ისინი კომენტარებში, ჩვენ სიამოვნებით გიპასუხებთ.

წყარო: www.habr.com