ຄຸນສົມບັດການຕັ້ງຄ່າ Palo Alto Networks: SSL VPN

ເຖິງວ່າຈະມີຂໍ້ດີທັງຫມົດຂອງໄຟວໍ Palo Alto Networks, ບໍ່ມີອຸປະກອນຫຼາຍກ່ຽວກັບ RuNet ກ່ຽວກັບການຕັ້ງຄ່າອຸປະກອນເຫຼົ່ານີ້, ເຊັ່ນດຽວກັນກັບບົດເລື່ອງທີ່ອະທິບາຍປະສົບການຂອງການປະຕິບັດຂອງພວກເຂົາ. ພວກເຮົາໄດ້ຕັດສິນໃຈສະຫຼຸບເອກະສານທີ່ພວກເຮົາໄດ້ສະສົມໃນລະຫວ່າງການເຮັດວຽກຂອງພວກເຮົາກັບອຸປະກອນຂອງຜູ້ຂາຍນີ້ແລະເວົ້າກ່ຽວກັບລັກສະນະທີ່ພວກເຮົາພົບໃນລະຫວ່າງການປະຕິບັດໂຄງການຕ່າງໆ.

ເພື່ອແນະນໍາທ່ານກ່ຽວກັບ Palo Alto Networks, ບົດຄວາມນີ້ຈະເບິ່ງການຕັ້ງຄ່າທີ່ຕ້ອງການເພື່ອແກ້ໄຂບັນຫາໄຟວໍທີ່ພົບເລື້ອຍທີ່ສຸດ - SSL VPN ສໍາລັບການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ພວກເຮົາຍັງຈະເວົ້າກ່ຽວກັບການທໍາງານທີ່ເປັນປະໂຫຍດສໍາລັບການຕັ້ງຄ່າ Firewall ທົ່ວໄປ, ການກໍານົດຜູ້ໃຊ້, ຄໍາຮ້ອງສະຫມັກ, ແລະນະໂຍບາຍຄວາມປອດໄພ. ຖ້າຫົວຂໍ້ມີຄວາມສົນໃຈກັບຜູ້ອ່ານ, ໃນອະນາຄົດພວກເຮົາຈະປ່ອຍອຸປະກອນການວິເຄາະ Site-to-Site VPN, ເສັ້ນທາງແບບເຄື່ອນໄຫວແລະການຈັດການສູນກາງໂດຍໃຊ້ Panorama.

Palo Alto Networks firewalls ໃຊ້ເທກໂນໂລຍີນະວັດຕະກໍາຫຼາຍຢ່າງ, ລວມທັງ App-ID, User-ID, Content-ID. ການນໍາໃຊ້ຫນ້າທີ່ນີ້ຊ່ວຍໃຫ້ທ່ານຮັບປະກັນຄວາມປອດໄພໃນລະດັບສູງ. ຕົວຢ່າງເຊັ່ນ, ດ້ວຍ App-ID ມັນເປັນໄປໄດ້ທີ່ຈະລະບຸການຈະລາຈອນຂອງແອັບພລິເຄຊັນໂດຍອີງໃສ່ລາຍເຊັນ, ການຖອດລະຫັດແລະ heuristics, ໂດຍບໍ່ຄໍານຶງເຖິງພອດແລະໂປໂຕຄອນທີ່ໃຊ້, ລວມທັງພາຍໃນອຸໂມງ SSL. User-ID ອະນຸຍາດໃຫ້ທ່ານສາມາດລະບຸຜູ້ໃຊ້ເຄືອຂ່າຍຜ່ານການເຊື່ອມໂຍງ LDAP. Content-ID ເຮັດ​ໃຫ້​ມັນ​ເປັນ​ໄປ​ໄດ້​ທີ່​ຈະ​ສະ​ແກນ​ການ​ຈະ​ລາ​ຈອນ​ແລະ​ລະ​ບຸ​ໄຟລ​໌​ສົ່ງ​ແລະ​ເນື້ອ​ໃນ​ຂອງ​ເຂົາ​ເຈົ້າ​. ຟັງຊັນ Firewall ອື່ນໆລວມມີການປ້ອງກັນການບຸກລຸກ, ການປ້ອງກັນຄວາມອ່ອນແອແລະການໂຈມຕີ DoS, ການປ້ອງກັນ spyware ທີ່ມີໃນຕົວ, ການກັ່ນຕອງ URL, clustering, ແລະການຄຸ້ມຄອງສູນກາງ.

ສໍາ​ລັບ​ການ​ສາ​ທິດ​, ພວກ​ເຮົາ​ຈະ​ນໍາ​ໃຊ້​ສະ​ຖານ​ທີ່​ໂດດ​ດ່ຽວ​, ມີ​ການ​ຕັ້ງ​ຄ່າ​ທີ່​ຄ້າຍ​ຄື​ກັນ​ກັບ​ຕົວ​ຈິງ​, ຍົກ​ເວັ້ນ​ຊື່​ອຸ​ປະ​ກອນ​, ຊື່​ໂດ​ເມນ AD ແລະ​ທີ່​ຢູ່ IP​. ໃນຄວາມເປັນຈິງ, ທຸກສິ່ງທຸກຢ່າງແມ່ນສັບສົນຫຼາຍ - ສາມາດມີຫຼາຍສາຂາ. ໃນກໍລະນີນີ້, ແທນທີ່ຈະເປັນ firewall ດຽວ, cluster ຈະຖືກຕິດຕັ້ງຢູ່ຊາຍແດນຂອງສະຖານທີ່ສູນກາງ, ແລະການກໍານົດເສັ້ນທາງແບບເຄື່ອນໄຫວອາດຈະຕ້ອງການ.

ໃຊ້ຢູ່ເທິງຂາຕັ້ງ PAN-OS 7.1.9. ໃນຖານະເປັນການຕັ້ງຄ່າປົກກະຕິ, ພິຈາລະນາເຄືອຂ່າຍທີ່ມີໄຟວໍ Palo Alto Networks ຢູ່ຂອບ. Firewall ໃຫ້ການເຂົ້າເຖິງ SSL VPN ຫ່າງໄກສອກຫຼີກໄປຫາສໍານັກງານໃຫຍ່. ໂດເມນ Active Directory ຈະຖືກນໍາໃຊ້ເປັນຖານຂໍ້ມູນຜູ້ໃຊ້ (ຮູບ 1).

ຮູບທີ 1 - ແຜນຜັງເຄືອຂ່າຍ

ຂັ້ນ​ຕອນ​ການ​ຕັ້ງ​ຄ່າ​:

1. ການຕັ້ງຄ່າອຸປະກອນລ່ວງໜ້າ. ການຕັ້ງຄ່າຊື່, ທີ່ຢູ່ IP ການຈັດການ, ເສັ້ນທາງສະຖິດ, ບັນຊີຜູ້ບໍລິຫານ, ໂປຣໄຟລ໌ການຈັດການ
2. ການຕິດຕັ້ງໃບອະນຸຍາດ, ການຕັ້ງຄ່າແລະການຕິດຕັ້ງການປັບປຸງ
3. ການຕັ້ງຄ່າເຂດຄວາມປອດໄພ, ການໂຕ້ຕອບເຄືອຂ່າຍ, ນະໂຍບາຍການຈະລາຈອນ, ການແປທີ່ຢູ່
4. ການຕັ້ງຄ່າໂປຣໄຟລ໌ການພິສູດຢືນຢັນ LDAP ແລະຄຸນສົມບັດການລະບຸຕົວຜູ້ໃຊ້
5. ຕັ້ງຄ່າ SSL VPN

1. ຕັ້ງໄວ້ລ່ວງໜ້າ

ເຄື່ອງ​ມື​ຕົ້ນ​ຕໍ​ສໍາ​ລັບ​ການ​ຕັ້ງ​ຄ່າ Palo Alto Networks firewall ແມ່ນ​ການ​ໂຕ້​ຕອບ​ຂອງ​ເວັບ​ໄຊ​ຕ​໌​; ການ​ຄຸ້ມ​ຄອງ​ໂດຍ​ຜ່ານ CLI ແມ່ນ​ເປັນ​ໄປ​ໄດ້​. ໂດຍຄ່າເລີ່ມຕົ້ນ, ການໂຕ້ຕອບການຈັດການຖືກຕັ້ງເປັນທີ່ຢູ່ IP 192.168.1.1/24, ເຂົ້າສູ່ລະບົບ: admin, ລະຫັດຜ່ານ: admin.

ທ່ານ​ສາ​ມາດ​ປ່ຽນ​ແປງ​ທີ່​ຢູ່​ໂດຍ​ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ການ​ໂຕ້​ຕອບ​ຂອງ​ເວັບ​ຈາກ​ເຄືອ​ຂ່າຍ​ດຽວ​ກັນ​, ຫຼື​ການ​ນໍາ​ໃຊ້​ຄໍາ​ສັ່ງ​ ຕັ້ງຄ່າອຸປະກອນ config ip-address <> netmask <>. ມັນຖືກປະຕິບັດຢູ່ໃນຮູບແບບການຕັ້ງຄ່າ. ເພື່ອປ່ຽນເປັນໂໝດການຕັ້ງຄ່າ, ໃຫ້ໃຊ້ຄຳສັ່ງ configure. ການປ່ຽນແປງທັງຫມົດໃນ Firewall ເກີດຂື້ນພຽງແຕ່ຫຼັງຈາກການຕັ້ງຄ່າຖືກຢືນຢັນໂດຍຄໍາສັ່ງ ຄໍາຫມັ້ນສັນຍາ, ທັງໃນຮູບແບບເສັ້ນຄໍາສັ່ງແລະໃນການໂຕ້ຕອບເວັບໄຊຕ໌.

ເພື່ອປ່ຽນການຕັ້ງຄ່າໃນສ່ວນຕິດຕໍ່ເວັບ, ໃຫ້ໃຊ້ພາກສ່ວນ ອຸປະກອນ -> ການຕັ້ງຄ່າທົ່ວໄປແລະອຸປະກອນ -> ການຕັ້ງຄ່າການໂຕ້ຕອບການຈັດການ. ສາມາດຕັ້ງຊື່, ປ້າຍໂຄສະນາ, ເຂດເວລາ ແລະການຕັ້ງຄ່າອື່ນໆໄດ້ໃນສ່ວນການຕັ້ງຄ່າທົ່ວໄປ (ຮູບ 2).

ຮູບທີ 2 - ຕົວກໍານົດການໂຕ້ຕອບການຈັດການ

ຖ້າທ່ານໃຊ້ firewall virtual ໃນສະພາບແວດລ້ອມ ESXi, ໃນພາກ Settings ທົ່ວໄປ, ທ່ານຈໍາເປັນຕ້ອງເປີດໃຊ້ງານການນໍາໃຊ້ທີ່ຢູ່ MAC ທີ່ຖືກມອບຫມາຍໂດຍ hypervisor, ຫຼື configure ທີ່ຢູ່ MAC ທີ່ລະບຸໄວ້ໃນສ່ວນຕິດຕໍ່ firewall ໃນ hypervisor, ຫຼືປ່ຽນການຕັ້ງຄ່າຂອງ. ສະວິດສະເໝືອນເພື່ອອະນຸຍາດໃຫ້ປ່ຽນທີ່ຢູ່ຂອງ MAC. ຖ້າບໍ່ດັ່ງນັ້ນ, ການຈະລາຈອນຈະບໍ່ຜ່ານ.

ການໂຕ້ຕອບການຈັດການໄດ້ຖືກຕັ້ງຄ່າແຍກຕ່າງຫາກແລະບໍ່ໄດ້ສະແດງຢູ່ໃນບັນຊີລາຍຊື່ຂອງການໂຕ້ຕອບເຄືອຂ່າຍ. ໃນບົດ ການຕັ້ງຄ່າການໂຕ້ຕອບການຈັດການ ກໍານົດ gateway ເລີ່ມຕົ້ນສໍາລັບການໂຕ້ຕອບການຈັດການ. ເສັ້ນທາງສະຖິດອື່ນໆແມ່ນຖືກຕັ້ງຄ່າຢູ່ໃນພາກສ່ວນ routers virtual; ນີ້ຈະຖືກປຶກສາຫາລືຕໍ່ມາ.

ເພື່ອອະນຸຍາດໃຫ້ເຂົ້າເຖິງອຸປະກອນໂດຍຜ່ານການໂຕ້ຕອບອື່ນໆ, ທ່ານຕ້ອງສ້າງໂປຣໄຟລ໌ການຈັດການ ໂປຣໄຟລ໌ການຈັດການ ໃນບົດ ເຄືອຂ່າຍ -> ໂປຣໄຟລ໌ເຄືອຂ່າຍ -> ການໂຕ້ຕອບ Mgmt ແລະມອບຫມາຍໃຫ້ມັນໃນການໂຕ້ຕອບທີ່ເຫມາະສົມ.

ຕໍ່ໄປ, ທ່ານຈໍາເປັນຕ້ອງກໍາຫນົດຄ່າ DNS ແລະ NTP ໃນພາກ ອຸປະກອນ -> ບໍລິການ ເພື່ອໃຫ້ໄດ້ຮັບການປັບປຸງແລະສະແດງເວລາຢ່າງຖືກຕ້ອງ (ຮູບ 3). ໂດຍຄ່າເລີ່ມຕົ້ນ, ການຈະລາຈອນທັງຫມົດທີ່ສ້າງຂຶ້ນໂດຍ firewall ໃຊ້ທີ່ຢູ່ IP ຂອງການໂຕ້ຕອບການຈັດການເປັນທີ່ຢູ່ IP ແຫຼ່ງຂອງມັນ. ທ່ານສາມາດກໍານົດການໂຕ້ຕອບທີ່ແຕກຕ່າງກັນສໍາລັບແຕ່ລະບໍລິການສະເພາະໃນພາກ ການຕັ້ງຄ່າເສັ້ນທາງການບໍລິການ.

ຮູບທີ 3 – DNS, NTP ແລະຕົວກໍານົດການບໍລິການເສັ້ນທາງລະບົບ

2. ການຕິດຕັ້ງໃບອະນຸຍາດ, ການຕັ້ງຄ່າແລະການຕິດຕັ້ງການປັບປຸງ

ສໍາລັບການປະຕິບັດຫນ້າທີ່ທັງຫມົດຂອງ firewall, ທ່ານຕ້ອງຕິດຕັ້ງໃບອະນຸຍາດ. ທ່ານສາມາດນໍາໃຊ້ໃບອະນຸຍາດທົດລອງໂດຍການຮ້ອງຂໍມັນຈາກຄູ່ຮ່ວມງານ Palo Alto Networks. ໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງມັນແມ່ນ 30 ມື້. ໃບອະນຸຍາດຖືກເປີດໃຊ້ຜ່ານໄຟລ໌ ຫຼືໂດຍໃຊ້ Auth-Code. ໃບອະນຸຍາດຖືກຕັ້ງຄ່າຢູ່ໃນພາກ ອຸປະກອນ -> ໃບອະນຸຍາດ (ຮູບ 4).
ຫຼັງຈາກການຕິດຕັ້ງໃບອະນຸຍາດ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ກໍານົດການຕິດຕັ້ງການປັບປຸງໃນພາກ ອຸປະກອນ -> ອັບເດດແບບໄດນາມິກ.
ສ່ວນ ອຸປະກອນ -> ຊອບແວ ທ່ານສາມາດດາວໂຫລດ ແລະຕິດຕັ້ງ PAN-OS ລຸ້ນໃໝ່ໄດ້.

ຮູບທີ 4 – ແຜງຄວບຄຸມໃບອະນຸຍາດ

3. ການຕັ້ງຄ່າເຂດຄວາມປອດໄພ, ການໂຕ້ຕອບເຄືອຂ່າຍ, ນະໂຍບາຍການຈະລາຈອນ, ການແປທີ່ຢູ່

Palo Alto Networks firewalls ໃຊ້ zone logic ເມື່ອຕັ້ງຄ່າກົດລະບຽບເຄືອຂ່າຍ. ການໂຕ້ຕອບເຄືອຂ່າຍຖືກມອບຫມາຍໃຫ້ເຂດສະເພາະ, ແລະເຂດນີ້ຖືກນໍາໃຊ້ໃນກົດລະບຽບຈະລາຈອນ. ວິທີການນີ້ອະນຸຍາດໃຫ້ໃນອະນາຄົດ, ເມື່ອມີການປ່ຽນແປງການຕັ້ງຄ່າການໂຕ້ຕອບ, ບໍ່ແມ່ນການປ່ຽນກົດລະບຽບການສັນຈອນ, ແຕ່ແທນທີ່ຈະກໍານົດການໂຕ້ຕອບທີ່ຈໍາເປັນໃຫ້ກັບເຂດທີ່ເຫມາະສົມ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ການສັນຈອນພາຍໃນເຂດແມ່ນອະນຸຍາດ, ການສັນຈອນລະຫວ່າງເຂດແມ່ນຖືກຫ້າມ, ກົດລະບຽບທີ່ກໍານົດໄວ້ລ່ວງຫນ້າແມ່ນຮັບຜິດຊອບຕໍ່ເລື່ອງນີ້. intrazone-default и interzone-default.

ຮູບທີ 5 – ເຂດຄວາມປອດໄພ

ໃນຕົວຢ່າງນີ້, ການໂຕ້ຕອບໃນເຄືອຂ່າຍພາຍໃນໄດ້ຖືກມອບຫມາຍໃຫ້ເຂດ ພາຍໃນ, ແລະການໂຕ້ຕອບທີ່ປະເຊີນກັບອິນເຕີເນັດໄດ້ຖືກມອບຫມາຍໃຫ້ເຂດ ພາຍນອກ. ສໍາລັບ SSL VPN, ການໂຕ້ຕອບ tunnel ໄດ້ຖືກສ້າງຂື້ນແລະຖືກມອບຫມາຍໃຫ້ເຂດ vpn (ຮູບ 5).

ການໂຕ້ຕອບເຄືອຂ່າຍໄຟວໍຂອງ Palo Alto Networks ສາມາດເຮັດວຽກຢູ່ໃນຫ້າໂຫມດທີ່ແຕກຕ່າງກັນ:

• ແຕະ – ໃຊ້ເພື່ອເກັບກຳຂໍ້ມູນການຈະລາຈອນເພື່ອຈຸດປະສົງການຕິດຕາມ ແລະ ວິເຄາະ
• HA - ໃຊ້​ສໍາ​ລັບ​ການ​ດໍາ​ເນີນ​ງານ​ກຸ່ມ​
• ສາຍສະເໝືອນ – ໃນ​ຮູບ​ແບບ​ນີ້​, Palo Alto Networks ລວມ​ທັງ​ສອງ​ການ​ໂຕ້​ຕອບ​ແລະ​ຢ່າງ​ໂປ່ງ​ໃສ​ຜ່ານ​ການ​ຈະ​ລາ​ຈອນ​ລະ​ຫວ່າງ​ພວກ​ເຂົາ​ໂດຍ​ບໍ່​ມີ​ການ​ປ່ຽນ​ແປງ​ທີ່​ຢູ່ MAC ແລະ IP
• ຊັ້ນທີ 2 - ສະ​ຫຼັບ​ຮູບ​ແບບ​
• ຊັ້ນທີ 3 - ໂຫມດ router

ຮູບທີ 6 – ການຕັ້ງຄ່າຮູບແບບການເຮັດວຽກຂອງການໂຕ້ຕອບ

ໃນຕົວຢ່າງນີ້, ຮູບແບບ Layer3 ຈະຖືກນໍາໃຊ້ (ຮູບ 6). ຕົວກໍານົດການໂຕ້ຕອບເຄືອຂ່າຍຊີ້ບອກທີ່ຢູ່ IP, ຮູບແບບການເຮັດວຽກແລະເຂດຄວາມປອດໄພທີ່ສອດຄ້ອງກັນ. ນອກເໜືອໄປຈາກຮູບແບບການເຮັດວຽກຂອງອິນເຕີເຟດ, ເຈົ້າຕ້ອງມອບໝາຍມັນໃຫ້ກັບ Router virtual Router, ນີ້ແມ່ນການປຽບທຽບຂອງຕົວຢ່າງ VRF ໃນ Palo Alto Networks. ເຣົາເຕີສະເໝືອນແມ່ນຢູ່ໂດດດ່ຽວຈາກກັນແລະກັນ ແລະມີຕາຕະລາງການກຳນົດເສັ້ນທາງຂອງຕົນເອງ ແລະການຕັ້ງຄ່າໂປຣໂຕຄໍເຄືອຂ່າຍ.

ການຕັ້ງຄ່າເຣົາເຕີສະເໝືອນຈະລະບຸເສັ້ນທາງສະຖິດ ແລະການຕັ້ງຄ່າໂປຣໂຕຄໍກຳນົດເສັ້ນທາງ. ໃນຕົວຢ່າງນີ້, ພຽງແຕ່ເປັນເສັ້ນທາງເລີ່ມຕົ້ນທີ່ຖືກສ້າງຂຶ້ນສໍາລັບການເຂົ້າເຖິງເຄືອຂ່າຍພາຍນອກ (ຮູບ 7).

ຮູບທີ 7 – ການຕັ້ງ router virtual

ຂັ້ນຕອນການຕັ້ງຄ່າຕໍ່ໄປແມ່ນນະໂຍບາຍການຈະລາຈອນ, ພາກ ນະໂຍບາຍ -> ຄວາມປອດໄພ. ຕົວຢ່າງຂອງການຕັ້ງຄ່າແມ່ນສະແດງຢູ່ໃນຮູບ 8. ເຫດຜົນຂອງກົດລະບຽບແມ່ນຄືກັນກັບໄຟວໍທັງຫມົດ. ກົດ​ລະ​ບຽບ​ແມ່ນ​ໄດ້​ກວດ​ກາ​ຈາກ​ເທິງ​ລົງ​ລຸ່ມ​, ລົງ​ໄປ​ໃນ​ການ​ແຂ່ງ​ຂັນ​ຄັ້ງ​ທໍາ​ອິດ​. ລາຍ​ລະ​ອຽດ​ໂດຍ​ຫຍໍ້​ຂອງ​ລະ​ບຽບ​ການ​:

1. SSL VPN ການເຂົ້າເຖິງເວັບ Portal. ອະນຸຍາດໃຫ້ເຂົ້າເຖິງປະຕູເວັບເພື່ອພິສູດຢືນຢັນການເຊື່ອມຕໍ່ທາງໄກ
2. ການຈະລາຈອນ VPN – ອະນຸຍາດໃຫ້ການຈະລາຈອນລະຫວ່າງການເຊື່ອມຕໍ່ຫ່າງໄກສອກຫຼີກແລະສໍານັກງານໃຫຍ່
3. ອິນເຕີເນັດພື້ນຖານ – ອະນຸຍາດໃຫ້ dns, ping, traceroute, ntp ຄໍາຮ້ອງສະຫມັກ. Firewall ອະນຸຍາດໃຫ້ຄໍາຮ້ອງສະຫມັກໂດຍອີງໃສ່ລາຍເຊັນ, ການຖອດລະຫັດ, ແລະ heuristics ແທນທີ່ຈະເປັນຕົວເລກພອດແລະໂປໂຕຄອນ, ຊຶ່ງເປັນເຫດຜົນທີ່ພາກສ່ວນບໍລິການເວົ້າວ່າຄໍາຮ້ອງສະຫມັກ - ເລີ່ມຕົ້ນ. ພອດ/ໂປຣໂຕຄໍເລີ່ມຕົ້ນສຳລັບແອັບພລິເຄຊັນນີ້
4. ການເຂົ້າເຖິງເວັບ – ອະນຸຍາດໃຫ້ເຂົ້າເຖິງອິນເຕີເນັດຜ່ານ HTTP ແລະ HTTPS protocols ໂດຍບໍ່ມີການຄວບຄຸມຄໍາຮ້ອງສະຫມັກ
5,6. ກົດລະບຽບເລີ່ມຕົ້ນສໍາລັບການຈະລາຈອນອື່ນໆ.

ຮູບທີ 8 — ຕົວຢ່າງຂອງການຕັ້ງຄ່າກົດລະບຽບເຄືອຂ່າຍ

ເພື່ອຕັ້ງຄ່າ NAT, ໃຊ້ພາກສ່ວນ ນະໂຍບາຍ -> NAT. ຕົວຢ່າງຂອງການຕັ້ງຄ່າ NAT ແມ່ນສະແດງຢູ່ໃນຮູບ 9.

ຮູບທີ 9 - ຕົວຢ່າງຂອງການຕັ້ງຄ່າ NAT

ສໍາລັບການຈະລາຈອນໃດໆຈາກພາຍໃນໄປຫາພາຍນອກ, ທ່ານສາມາດປ່ຽນທີ່ຢູ່ແຫຼ່ງໄປຫາທີ່ຢູ່ IP ພາຍນອກຂອງໄຟວໍແລະໃຊ້ທີ່ຢູ່ພອດແບບເຄື່ອນໄຫວ (PAT).

4. ການຕັ້ງຄ່າໂປຣໄຟລ໌ການຢັ້ງຢືນ LDAP ແລະຟັງຊັນການລະບຸຕົວຜູ້ໃຊ້
ກ່ອນທີ່ຈະເຊື່ອມຕໍ່ຜູ້ໃຊ້ຜ່ານ SSL-VPN, ທ່ານຈໍາເປັນຕ້ອງກໍານົດກົນໄກການພິສູດຢືນຢັນ. ໃນຕົວຢ່າງນີ້, ການກວດສອບຄວາມຖືກຕ້ອງຈະເກີດຂຶ້ນກັບຕົວຄວບຄຸມໂດເມນ Active Directory ຜ່ານອິນເຕີເຟດເວັບ Palo Alto Networks.

ຮູບທີ 10 – ໂປຣໄຟລ໌ LDAP

ເພື່ອໃຫ້ການພິສູດຢືນຢັນເຮັດວຽກ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ຕັ້ງຄ່າ ໂປຣໄຟລ໌ LDAP и ໂປຣໄຟລ໌ການຢັ້ງຢືນ. ໃນພາກ ອຸປະກອນ -> ໂປຣໄຟລ໌ເຊີບເວີ -> LDAP (ຮູບ 10) ທ່ານຈໍາເປັນຕ້ອງລະບຸທີ່ຢູ່ IP ແລະພອດຂອງຕົວຄວບຄຸມໂດເມນ, ປະເພດ LDAP ແລະບັນຊີຜູ້ໃຊ້ລວມຢູ່ໃນກຸ່ມ. ຜູ້ໃຫ້ບໍລິການເຊີບເວີ, ຜູ້ອ່ານບັນທຶກເຫດການ, ຜູ້ໃຊ້ COM ທີ່ແຈກຢາຍ. ຫຼັງຈາກນັ້ນ, ໃນພາກ ອຸປະກອນ -> ຂໍ້ມູນການພິສູດຢືນຢັນ ສ້າງໂປຣໄຟລ໌ການຮັບຮອງຄວາມຖືກຕ້ອງ (ຮູບ 11), ໝາຍເຖິງອັນທີ່ສ້າງຂຶ້ນໃນເມື່ອກ່ອນ ໂປຣໄຟລ໌ LDAP ແລະໃນແຖບ Advanced ພວກເຮົາຊີ້ບອກກຸ່ມຜູ້ໃຊ້ (ຮູບ 12) ຜູ້ທີ່ໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສັງເກດພາລາມິເຕີໃນໂປຣໄຟລ໌ຂອງທ່ານ ໂດເມນຜູ້ໃຊ້ຖ້າບໍ່ດັ່ງນັ້ນການອະນຸຍາດແບບກຸ່ມຈະບໍ່ເຮັດວຽກ. ພາກສະຫນາມຕ້ອງລະບຸຊື່ໂດເມນ NetBIOS.

ຮູບທີ 11 – ໂປຣໄຟລ໌ການພິສູດຢືນຢັນ

ຮູບທີ 12 – ການຄັດເລືອກກຸ່ມ AD

ຂັ້ນຕອນຕໍ່ໄປແມ່ນການຕິດຕັ້ງ ອຸປະກອນ -> ການລະບຸຜູ້ໃຊ້. ໃນທີ່ນີ້ທ່ານຈໍາເປັນຕ້ອງລະບຸທີ່ຢູ່ IP ຂອງຕົວຄວບຄຸມໂດເມນ, ຂໍ້ມູນປະຈໍາຕົວເຊື່ອມຕໍ່, ແລະຍັງກໍານົດການຕັ້ງຄ່າ. ເປີດໃຊ້ບັນທຶກຄວາມປອດໄພ, ເປີດໃຊ້ Session, ເປີດໃຊ້ Probing (ຮູບ 13). ໃນບົດ ການສ້າງແຜນທີ່ກຸ່ມ (ຮູບ 14) ທ່ານຈໍາເປັນຕ້ອງສັງເກດຕົວກໍານົດການສໍາລັບການກໍານົດວັດຖຸໃນ LDAP ແລະບັນຊີລາຍຊື່ຂອງກຸ່ມທີ່ຈະນໍາໃຊ້ສໍາລັບການອະນຸຍາດ. ຄືກັນກັບຢູ່ໃນໂປຣໄຟລ໌ການພິສູດຢືນຢັນ, ໃນທີ່ນີ້ທ່ານຕ້ອງການກໍານົດພາລາມິເຕີໂດເມນຜູ້ໃຊ້.

ຮູບທີ 13 – ຕົວກໍານົດການແຜນທີ່ຜູ້ໃຊ້

ຮູບທີ 14 – ຕົວກໍານົດການແຜນທີ່ກຸ່ມ

ຂັ້ນຕອນສຸດທ້າຍຂອງໄລຍະນີ້ແມ່ນການສ້າງເຂດ VPN ແລະການໂຕ້ຕອບສໍາລັບເຂດນັ້ນ. ທ່ານຈໍາເປັນຕ້ອງເປີດໃຊ້ທາງເລືອກໃນການໂຕ້ຕອບ ເປີດໃຊ້ການລະບຸຕົວຜູ້ໃຊ້ (ຮູບ 15).

ຮູບທີ 15 – ການຕັ້ງຄ່າເຂດ VPN

5. ຕັ້ງຄ່າ SSL VPN

ກ່ອນທີ່ຈະເຊື່ອມຕໍ່ກັບ SSL VPN, ຜູ້ໃຊ້ຫ່າງໄກສອກຫຼີກຕ້ອງໄປຫາເວັບ portal, ພິສູດຢືນຢັນແລະດາວໂຫລດ Global Protect client. ຕໍ່ໄປ, ລູກຄ້ານີ້ຈະຮ້ອງຂໍຂໍ້ມູນປະຈໍາຕົວແລະເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍຂອງບໍລິສັດ. ປະຕູເວັບໄຊຕ໌ດໍາເນີນການໃນຮູບແບບ https ແລະ, ຕາມຄວາມເຫມາະສົມ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ຕິດຕັ້ງໃບຢັ້ງຢືນສໍາລັບມັນ. ໃຊ້ໃບຢັ້ງຢືນສາທາລະນະຖ້າເປັນໄປໄດ້. ຫຼັງຈາກນັ້ນ, ຜູ້ໃຊ້ຈະບໍ່ໄດ້ຮັບການເຕືອນກ່ຽວກັບຄວາມບໍ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນຢູ່ໃນເວັບໄຊທ໌. ຖ້າມັນບໍ່ສາມາດໃຊ້ໃບຢັ້ງຢືນສາທາລະນະ, ຫຼັງຈາກນັ້ນທ່ານຈໍາເປັນຕ້ອງອອກຂອງຕົນເອງ, ເຊິ່ງຈະຖືກນໍາໃຊ້ໃນຫນ້າເວັບສໍາລັບ https. ມັນສາມາດໄດ້ຮັບການເຊັນດ້ວຍຕົນເອງຫຼືອອກໂດຍຜ່ານອົງການໃບຢັ້ງຢືນທ້ອງຖິ່ນ. ຄອມພິວເຕີຫ່າງໄກສອກຫຼີກຕ້ອງມີໃບຢັ້ງຢືນການຮາກຫຼືຕົນເອງລົງນາມໃນບັນຊີລາຍຊື່ຂອງອໍານາດການປົກຮາກທີ່ເຊື່ອຖືໄດ້ເພື່ອວ່າຜູ້ໃຊ້ບໍ່ໄດ້ຮັບຄວາມຜິດພາດເມື່ອເຊື່ອມຕໍ່ກັບຫນ້າເວັບ. ຕົວຢ່າງນີ້ຈະໃຊ້ໃບຢັ້ງຢືນທີ່ອອກໃຫ້ໂດຍຜ່ານ Active Directory Certificate Services.

ເພື່ອອອກໃບຢັ້ງຢືນ, ທ່ານຈໍາເປັນຕ້ອງສ້າງຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນຢູ່ໃນພາກ ອຸປະກອນ -> ການຈັດການໃບຢັ້ງຢືນ -> ໃບຢັ້ງຢືນ -> ສ້າງ. ໃນຄໍາຮ້ອງຂໍພວກເຮົາຊີ້ບອກຊື່ຂອງໃບຢັ້ງຢືນແລະທີ່ຢູ່ IP ຫຼື FQDN ຂອງປະຕູເວັບໄຊຕ໌ (ຮູບ 16). ຫຼັງຈາກສ້າງຄໍາຮ້ອງຂໍ, ດາວໂຫລດ .csr ໄຟລ໌ແລະຄັດລອກເນື້ອຫາຂອງມັນເຂົ້າໄປໃນຊ່ອງຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນໃນແບບຟອມການລົງທະບຽນເວັບ AD CS Web. ຂຶ້ນກັບວິທີການກໍານົດສິດອໍານາດຂອງໃບຢັ້ງຢືນ, ການຮ້ອງຂໍໃບຢັ້ງຢືນຕ້ອງໄດ້ຮັບການອະນຸມັດແລະໃບຢັ້ງຢືນທີ່ອອກໃຫ້ຕ້ອງໄດ້ຮັບການດາວໂຫຼດໃນຮູບແບບ. Base64 ໃບຢັ້ງຢືນເຂົ້າລະຫັດ. ນອກຈາກນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ດາວໂຫລດໃບຢັ້ງຢືນຮາກຂອງເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນ. ຫຼັງຈາກນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ນໍາເຂົ້າໃບຢັ້ງຢືນທັງສອງເຂົ້າໄປໃນ firewall. ເມື່ອການນໍາເຂົ້າໃບຢັ້ງຢືນສໍາລັບເວັບໄຊຕ໌, ທ່ານຕ້ອງເລືອກຄໍາຮ້ອງຂໍຢູ່ໃນສະຖານະທີ່ຍັງຄ້າງຢູ່ແລະຄລິກໃສ່ການນໍາເຂົ້າ. ຊື່ໃບຢັ້ງຢືນຕ້ອງກົງກັບຊື່ທີ່ລະບຸໄວ້ກ່ອນໜ້ານີ້ໃນການຮ້ອງຂໍ. ຊື່ຂອງໃບຢັ້ງຢືນຮາກສາມາດຖືກລະບຸໂດຍ arbitrarily. ຫຼັງຈາກນໍາເຂົ້າໃບຢັ້ງຢືນ, ທ່ານຈໍາເປັນຕ້ອງສ້າງ ໂປຣໄຟລ໌ບໍລິການ SSL/TLS ໃນບົດ ອຸປະກອນ -> ການຈັດການໃບຢັ້ງຢືນ. ໃນໂປຣໄຟລ໌ພວກເຮົາຊີ້ບອກໃບຮັບຮອງທີ່ນໍາເຂົ້າມາກ່ອນຫນ້ານີ້.

ຮູບທີ 16 - ການຮ້ອງຂໍໃບຢັ້ງຢືນ

ຂັ້ນຕອນຕໍ່ໄປແມ່ນການຕັ້ງຄ່າວັດຖຸ Global Protect Gateway и Global Protect Portal ໃນບົດ ເຄືອຂ່າຍ -> Global Protect. ໃນການຕັ້ງຄ່າ Global Protect Gateway ຊີ້ບອກທີ່ຢູ່ IP ພາຍນອກຂອງ firewall, ເຊັ່ນດຽວກັນກັບທີ່ສ້າງຂຶ້ນໃນເມື່ອກ່ອນ ໂປຣໄຟລ໌ SSL, ໂປຣໄຟລ໌ການຢັ້ງຢືນ, ການໂຕ້ຕອບ tunnel ແລະການຕັ້ງຄ່າ IP ລູກຄ້າ. ທ່ານຈໍາເປັນຕ້ອງລະບຸກຸ່ມທີ່ຢູ່ IP ທີ່ທີ່ຢູ່ຈະຖືກມອບໃຫ້ລູກຄ້າ, ແລະເສັ້ນທາງການເຂົ້າເຖິງ - ເຫຼົ່ານີ້ແມ່ນເຄືອຂ່າຍຍ່ອຍທີ່ລູກຄ້າຈະມີເສັ້ນທາງ. ຖ້າວຽກງານແມ່ນເພື່ອຫໍ່ການເຂົ້າຊົມຜູ້ໃຊ້ທັງຫມົດຜ່ານ firewall, ຫຼັງຈາກນັ້ນທ່ານຈໍາເປັນຕ້ອງລະບຸ subnet 0.0.0.0/0 (ຮູບ 17).

ຮູບທີ 17 - ການຕັ້ງຄ່າສະນຸກເກີຂອງທີ່ຢູ່ IP ແລະເສັ້ນທາງ

ຫຼັງຈາກນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງ configure Global Protect Portal. ລະບຸທີ່ຢູ່ IP ຂອງ firewall, ໂປຣໄຟລ໌ SSL и ໂປຣໄຟລ໌ການຢັ້ງຢືນ ແລະບັນຊີລາຍຊື່ຂອງທີ່ຢູ່ IP ພາຍນອກຂອງ firewalls ທີ່ລູກຄ້າຈະເຊື່ອມຕໍ່. ຖ້າມີ firewall ຫຼາຍ, ທ່ານສາມາດກໍານົດບູລິມະສິດສໍາລັບແຕ່ລະຄົນ, ອີງຕາມທີ່ຜູ້ໃຊ້ຈະເລືອກ firewall ເພື່ອເຊື່ອມຕໍ່.

ສ່ວນ ອຸປະກອນ -> GlobalProtect Client ທ່ານຈໍາເປັນຕ້ອງດາວໂຫລດການແຈກຢາຍລູກຄ້າ VPN ຈາກເຄື່ອງແມ່ຂ່າຍຂອງ Palo Alto Networks ແລະເປີດໃຊ້ມັນ. ເພື່ອເຊື່ອມຕໍ່, ຜູ້ໃຊ້ຕ້ອງໄປຫາຫນ້າເວັບປະຕູ, ບ່ອນທີ່ລາວຈະຖືກຮ້ອງຂໍໃຫ້ດາວໂຫລດ GlobalProtect ລູກຄ້າ. ເມື່ອດາວໂຫລດແລະຕິດຕັ້ງແລ້ວ, ທ່ານສາມາດໃສ່ຂໍ້ມູນປະຈໍາຕົວຂອງທ່ານແລະເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍບໍລິສັດຂອງທ່ານຜ່ານ SSL VPN.

ສະຫລຸບ

ນີ້ເຮັດສໍາເລັດສ່ວນ Palo Alto Networks ຂອງການຕິດຕັ້ງ. ພວກເຮົາຫວັງວ່າຂໍ້ມູນທີ່ເປັນປະໂຫຍດແລະຜູ້ອ່ານໄດ້ຮັບຄວາມເຂົ້າໃຈກ່ຽວກັບເຕັກໂນໂລຢີທີ່ໃຊ້ຢູ່ Palo Alto Networks. ຖ້າທ່ານມີຄໍາຖາມກ່ຽວກັບການຕິດຕັ້ງແລະຄໍາແນະນໍາກ່ຽວກັບຫົວຂໍ້ສໍາລັບບົດຄວາມໃນອະນາຄົດ, ຂຽນໃຫ້ເຂົາເຈົ້າໃນຄໍາເຫັນ, ພວກເຮົາຈະຍິນດີທີ່ຈະຕອບ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com