പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ സജ്ജീകരണ സവിശേഷതകൾ: SSL VPN

പാലോ ആൾട്ടോ നെറ്റ്‌വർക്ക് ഫയർവാളുകളുടെ എല്ലാ ഗുണങ്ങളും ഉണ്ടായിരുന്നിട്ടും, ഈ ഉപകരണങ്ങൾ സജ്ജീകരിക്കുന്നതിന് RuNet-ൽ കൂടുതൽ മെറ്റീരിയലുകൾ ഇല്ല, അതുപോലെ തന്നെ അവ നടപ്പിലാക്കിയതിന്റെ അനുഭവം വിവരിക്കുന്ന പാഠങ്ങളും. ഈ വെണ്ടറുടെ ഉപകരണങ്ങളുമായി ഞങ്ങളുടെ ജോലി സമയത്ത് ഞങ്ങൾ ശേഖരിച്ച മെറ്റീരിയലുകൾ സംഗ്രഹിക്കാനും വിവിധ പ്രോജക്റ്റുകൾ നടപ്പിലാക്കുമ്പോൾ ഞങ്ങൾ നേരിട്ട സവിശേഷതകളെ കുറിച്ച് സംസാരിക്കാനും ഞങ്ങൾ തീരുമാനിച്ചു.

പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളിലേക്ക് നിങ്ങളെ പരിചയപ്പെടുത്തുന്നതിന്, ഏറ്റവും സാധാരണമായ ഫയർവാൾ പ്രശ്‌നങ്ങളിലൊന്ന് പരിഹരിക്കുന്നതിന് ആവശ്യമായ കോൺഫിഗറേഷൻ ഈ ലേഖനം പരിശോധിക്കും - റിമോട്ട് ആക്‌സസിനായുള്ള SSL VPN. പൊതുവായ ഫയർവാൾ കോൺഫിഗറേഷൻ, ഉപയോക്തൃ തിരിച്ചറിയൽ, ആപ്ലിക്കേഷനുകൾ, സുരക്ഷാ നയങ്ങൾ എന്നിവയ്ക്കുള്ള യൂട്ടിലിറ്റി ഫംഗ്ഷനുകളെക്കുറിച്ചും ഞങ്ങൾ സംസാരിക്കും. വിഷയം വായനക്കാർക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ, ഭാവിയിൽ പനോരമ ഉപയോഗിച്ച് സൈറ്റ്-ടു-സൈറ്റ് VPN, ഡൈനാമിക് റൂട്ടിംഗ്, കേന്ദ്രീകൃത മാനേജ്മെന്റ് എന്നിവ വിശകലനം ചെയ്യുന്ന മെറ്റീരിയലുകൾ ഞങ്ങൾ പുറത്തിറക്കും.

പാലോ ആൾട്ടോ നെറ്റ്‌വർക്ക് ഫയർവാളുകൾ ആപ്പ്-ഐഡി, യൂസർ-ഐഡി, കണ്ടന്റ്-ഐഡി എന്നിവയുൾപ്പെടെ നിരവധി നൂതന സാങ്കേതികവിദ്യകൾ ഉപയോഗിക്കുന്നു. ഈ പ്രവർത്തനത്തിന്റെ ഉപയോഗം ഉയർന്ന തലത്തിലുള്ള സുരക്ഷ ഉറപ്പാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, ആപ്പ്-ഐഡി ഉപയോഗിച്ച്, SSL ടണലിനുള്ളിൽ ഉൾപ്പെടെ, ഉപയോഗിച്ച പോർട്ടും പ്രോട്ടോക്കോളും പരിഗണിക്കാതെ, ഒപ്പുകൾ, ഡീകോഡിംഗ്, ഹ്യൂറിസ്റ്റിക്സ് എന്നിവ അടിസ്ഥാനമാക്കി ആപ്ലിക്കേഷൻ ട്രാഫിക് തിരിച്ചറിയാൻ കഴിയും. LDAP സംയോജനത്തിലൂടെ നെറ്റ്‌വർക്ക് ഉപയോക്താക്കളെ തിരിച്ചറിയാൻ യൂസർ-ഐഡി നിങ്ങളെ അനുവദിക്കുന്നു. ട്രാഫിക് സ്കാൻ ചെയ്യാനും ട്രാൻസ്മിറ്റ് ചെയ്ത ഫയലുകളും അവയുടെ ഉള്ളടക്കങ്ങളും തിരിച്ചറിയാനും Content-ID സാധ്യമാക്കുന്നു. മറ്റ് ഫയർവാൾ ഫംഗ്‌ഷനുകളിൽ നുഴഞ്ഞുകയറ്റ സംരക്ഷണം, കേടുപാടുകൾ, DoS ആക്രമണങ്ങൾ എന്നിവയ്‌ക്കെതിരായ സംരക്ഷണം, അന്തർനിർമ്മിത ആന്റി-സ്‌പൈവെയർ, URL ഫിൽട്ടറിംഗ്, ക്ലസ്റ്ററിംഗ്, കേന്ദ്രീകൃത മാനേജുമെന്റ് എന്നിവ ഉൾപ്പെടുന്നു.

പ്രകടനത്തിനായി, ഉപകരണ നാമങ്ങൾ, AD ഡൊമെയ്ൻ നാമം, IP വിലാസങ്ങൾ എന്നിവ ഒഴികെ യഥാർത്ഥമായതിന് സമാനമായ ഒരു കോൺഫിഗറേഷൻ ഉള്ള ഒരു ഒറ്റപ്പെട്ട സ്റ്റാൻഡ് ഞങ്ങൾ ഉപയോഗിക്കും. വാസ്തവത്തിൽ, എല്ലാം കൂടുതൽ സങ്കീർണ്ണമാണ് - ധാരാളം ശാഖകൾ ഉണ്ടാകാം. ഈ സാഹചര്യത്തിൽ, ഒരൊറ്റ ഫയർവാളിന് പകരം, സെൻട്രൽ സൈറ്റുകളുടെ അതിർത്തികളിൽ ഒരു ക്ലസ്റ്റർ ഇൻസ്റ്റാൾ ചെയ്യപ്പെടും, കൂടാതെ ഡൈനാമിക് റൂട്ടിംഗും ആവശ്യമായി വന്നേക്കാം.

സ്റ്റാൻഡിൽ ഉപയോഗിച്ചു PAN-OS 7.1.9. ഒരു സാധാരണ കോൺഫിഗറേഷൻ എന്ന നിലയിൽ, പാലോ ആൾട്ടോ നെറ്റ്‌വർക്ക് ഫയർവാളുള്ള ഒരു നെറ്റ്‌വർക്ക് പരിഗണിക്കുക. ഫയർവാൾ ഹെഡ് ഓഫീസിലേക്ക് റിമോട്ട് SSL VPN ആക്സസ് നൽകുന്നു. സജീവ ഡയറക്ടറി ഡൊമെയ്ൻ ഒരു ഉപയോക്തൃ ഡാറ്റാബേസായി ഉപയോഗിക്കും (ചിത്രം 1).

ചിത്രം 1 - നെറ്റ്‌വർക്ക് ബ്ലോക്ക് ഡയഗ്രം

സജ്ജീകരണ ഘട്ടങ്ങൾ:

1. ഉപകരണത്തിന്റെ പ്രീ-കോൺഫിഗറേഷൻ. പേര്, മാനേജ്മെന്റ് ഐപി വിലാസം, സ്റ്റാറ്റിക് റൂട്ടുകൾ, അഡ്മിനിസ്ട്രേറ്റർ അക്കൗണ്ടുകൾ, മാനേജ്മെന്റ് പ്രൊഫൈലുകൾ എന്നിവ ക്രമീകരിക്കുന്നു
2. ലൈസൻസുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക, അപ്ഡേറ്റുകൾ കോൺഫിഗർ ചെയ്യുക, ഇൻസ്റ്റാൾ ചെയ്യുക
3. സുരക്ഷാ മേഖലകൾ, നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ, ട്രാഫിക് നയങ്ങൾ, വിലാസ വിവർത്തനം എന്നിവ ക്രമീകരിക്കുന്നു
4. ഒരു LDAP ആധികാരികത പ്രൊഫൈലും ഉപയോക്തൃ ഐഡന്റിഫിക്കേഷൻ ഫീച്ചറും കോൺഫിഗർ ചെയ്യുന്നു
5. ഒരു SSL VPN സജ്ജീകരിക്കുന്നു

1. പ്രീസെറ്റ്

പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ ഫയർവാൾ കോൺഫിഗർ ചെയ്യുന്നതിനുള്ള പ്രധാന ഉപകരണം വെബ് ഇന്റർഫേസാണ്; CLI വഴിയുള്ള മാനേജ്മെന്റും സാധ്യമാണ്. സ്ഥിരസ്ഥിതിയായി, മാനേജുമെന്റ് ഇന്റർഫേസ് IP വിലാസം 192.168.1.1/24, ലോഗിൻ: അഡ്മിൻ, പാസ്‌വേഡ്: അഡ്മിൻ ആയി സജ്ജീകരിച്ചിരിക്കുന്നു.

ഒരേ നെറ്റ്‌വർക്കിൽ നിന്ന് വെബ് ഇന്റർഫേസിലേക്ക് കണക്‌റ്റ് ചെയ്‌ത് അല്ലെങ്കിൽ കമാൻഡ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് വിലാസം മാറ്റാനാകും deviceconfig സിസ്റ്റം ഐപി-വിലാസം <> നെറ്റ്മാസ്ക് <> സജ്ജമാക്കുക. ഇത് കോൺഫിഗറേഷൻ മോഡിൽ നടപ്പിലാക്കുന്നു. കോൺഫിഗറേഷൻ മോഡിലേക്ക് മാറുന്നതിന്, കമാൻഡ് ഉപയോഗിക്കുക കോൺഫിഗർ. കമാൻഡ് വഴി ക്രമീകരണങ്ങൾ സ്ഥിരീകരിച്ചതിനുശേഷം മാത്രമേ ഫയർവാളിലെ എല്ലാ മാറ്റങ്ങളും സംഭവിക്കുകയുള്ളൂ സമർപ്പിക്കുക, കമാൻഡ് ലൈൻ മോഡിലും വെബ് ഇന്റർഫേസിലും.

വെബ് ഇന്റർഫേസിലെ ക്രമീകരണങ്ങൾ മാറ്റാൻ, വിഭാഗം ഉപയോഗിക്കുക ഉപകരണം -> പൊതുവായ ക്രമീകരണങ്ങളും ഉപകരണം -> മാനേജ്മെന്റ് ഇന്റർഫേസ് ക്രമീകരണങ്ങളും. പേര്, ബാനറുകൾ, സമയ മേഖല, മറ്റ് ക്രമീകരണങ്ങൾ എന്നിവ പൊതുവായ ക്രമീകരണ വിഭാഗത്തിൽ സജ്ജമാക്കാൻ കഴിയും (ചിത്രം 2).

ചിത്രം 2 - മാനേജ്മെന്റ് ഇന്റർഫേസ് പാരാമീറ്ററുകൾ

നിങ്ങൾ ഒരു ESXi പരിതസ്ഥിതിയിൽ ഒരു വെർച്വൽ ഫയർവാൾ ഉപയോഗിക്കുകയാണെങ്കിൽ, പൊതു ക്രമീകരണ വിഭാഗത്തിൽ നിങ്ങൾ ഹൈപ്പർവൈസർ അസൈൻ ചെയ്‌ത MAC വിലാസത്തിന്റെ ഉപയോഗം പ്രവർത്തനക്ഷമമാക്കേണ്ടതുണ്ട്, അല്ലെങ്കിൽ ഹൈപ്പർവൈസറിലെ ഫയർവാൾ ഇന്റർഫേസുകളിൽ വ്യക്തമാക്കിയ MAC വിലാസങ്ങൾ കോൺഫിഗർ ചെയ്യുക, അല്ലെങ്കിൽ ക്രമീകരണങ്ങൾ മാറ്റുക MAC വിലാസങ്ങൾ മാറ്റാൻ അനുവദിക്കുന്നതിന് വെർച്വൽ സ്വിച്ചുകൾ. അല്ലെങ്കിൽ, ഗതാഗതം കടന്നുപോകില്ല.

മാനേജ്മെന്റ് ഇന്റർഫേസ് പ്രത്യേകം ക്രമീകരിച്ചിരിക്കുന്നു, നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകളുടെ പട്ടികയിൽ ഇത് പ്രദർശിപ്പിക്കില്ല. അധ്യായത്തിൽ മാനേജ്മെന്റ് ഇന്റർഫേസ് ക്രമീകരണങ്ങൾ മാനേജ്മെന്റ് ഇന്റർഫേസിനായി സ്ഥിരസ്ഥിതി ഗേറ്റ്വേ വ്യക്തമാക്കുന്നു. മറ്റ് സ്റ്റാറ്റിക് റൂട്ടുകൾ വെർച്വൽ റൂട്ടറുകൾ വിഭാഗത്തിൽ ക്രമീകരിച്ചിരിക്കുന്നു; ഇത് പിന്നീട് ചർച്ചചെയ്യും.

മറ്റ് ഇന്റർഫേസുകളിലൂടെ ഉപകരണത്തിലേക്ക് ആക്സസ് അനുവദിക്കുന്നതിന്, നിങ്ങൾ ഒരു മാനേജ്മെന്റ് പ്രൊഫൈൽ സൃഷ്ടിക്കേണ്ടതുണ്ട് മാനേജ്മെന്റ് പ്രൊഫൈൽ വിഭാഗം നെറ്റ്‌വർക്ക് -> നെറ്റ്‌വർക്ക് പ്രൊഫൈലുകൾ -> ഇന്റർഫേസ് Mgmt ഉചിതമായ ഇന്റർഫേസിലേക്ക് അത് നിയോഗിക്കുക.

അടുത്തതായി, നിങ്ങൾ വിഭാഗത്തിൽ DNS, NTP എന്നിവ ക്രമീകരിക്കേണ്ടതുണ്ട് ഉപകരണം -> സേവനങ്ങൾ അപ്ഡേറ്റുകൾ സ്വീകരിക്കുന്നതിനും സമയം ശരിയായി പ്രദർശിപ്പിക്കുന്നതിനും (ചിത്രം 3). സ്ഥിരസ്ഥിതിയായി, ഫയർവാൾ സൃഷ്ടിക്കുന്ന എല്ലാ ട്രാഫിക്കും മാനേജ്മെന്റ് ഇന്റർഫേസ് ഐപി വിലാസം അതിന്റെ ഉറവിട ഐപി വിലാസമായി ഉപയോഗിക്കുന്നു. വിഭാഗത്തിലെ ഓരോ നിർദ്ദിഷ്ട സേവനത്തിനും നിങ്ങൾക്ക് വ്യത്യസ്ത ഇന്റർഫേസ് നൽകാം സർവീസ് റൂട്ട് കോൺഫിഗറേഷൻ.

ചിത്രം 3 - DNS, NTP, സിസ്റ്റം റൂട്ടുകളുടെ സേവന പാരാമീറ്ററുകൾ

2. ലൈസൻസുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക, അപ്ഡേറ്റുകൾ സജ്ജീകരിക്കുക, ഇൻസ്റ്റാൾ ചെയ്യുക

എല്ലാ ഫയർവാൾ പ്രവർത്തനങ്ങളുടെയും പൂർണ്ണമായ പ്രവർത്തനത്തിന്, നിങ്ങൾ ഒരു ലൈസൻസ് ഇൻസ്റ്റാൾ ചെയ്യണം. Palo Alto Networks പങ്കാളികളിൽ നിന്ന് അഭ്യർത്ഥിച്ച് നിങ്ങൾക്ക് ഒരു ട്രയൽ ലൈസൻസ് ഉപയോഗിക്കാം. ഇതിന്റെ കാലാവധി 30 ദിവസമാണ്. ഒരു ഫയൽ വഴിയോ ഓത്ത്-കോഡ് ഉപയോഗിച്ചോ ലൈസൻസ് സജീവമാക്കുന്നു. വിഭാഗത്തിൽ ലൈസൻസുകൾ ക്രമീകരിച്ചിരിക്കുന്നു ഉപകരണം -> ലൈസൻസുകൾ (അത്തിമരം 4).
ലൈസൻസ് ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം, വിഭാഗത്തിലെ അപ്‌ഡേറ്റുകളുടെ ഇൻസ്റ്റാളേഷൻ നിങ്ങൾ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട് ഉപകരണം -> ഡൈനാമിക് അപ്ഡേറ്റുകൾ.
വിഭാഗം ഉപകരണം -> സോഫ്റ്റ്വെയർ നിങ്ങൾക്ക് PAN-OS-ന്റെ പുതിയ പതിപ്പുകൾ ഡൗൺലോഡ് ചെയ്യാനും ഇൻസ്റ്റാൾ ചെയ്യാനും കഴിയും.

ചിത്രം 4 - ലൈസൻസ് നിയന്ത്രണ പാനൽ

3. സുരക്ഷാ മേഖലകൾ, നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ, ട്രാഫിക് നയങ്ങൾ, വിലാസ വിവർത്തനം എന്നിവ ക്രമീകരിക്കുന്നു

നെറ്റ്‌വർക്ക് നിയമങ്ങൾ ക്രമീകരിക്കുമ്പോൾ പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ ഫയർവാളുകൾ സോൺ ലോജിക് ഉപയോഗിക്കുന്നു. നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ ഒരു നിർദ്ദിഷ്‌ട സോണിലേക്ക് അസൈൻ ചെയ്‌തിരിക്കുന്നു, ട്രാഫിക് നിയമങ്ങളിൽ ഈ സോൺ ഉപയോഗിക്കുന്നു. ഈ സമീപനം ഭാവിയിൽ, ഇന്റർഫേസ് ക്രമീകരണങ്ങൾ മാറ്റുമ്പോൾ, ട്രാഫിക് നിയമങ്ങൾ മാറ്റാനല്ല, പകരം ഉചിതമായ സോണുകളിലേക്ക് ആവശ്യമായ ഇന്റർഫേസുകൾ പുനഃക്രമീകരിക്കാൻ അനുവദിക്കുന്നു. ഡിഫോൾട്ടായി, ഒരു സോണിനുള്ളിലെ ഗതാഗതം അനുവദനീയമാണ്, സോണുകൾക്കിടയിലുള്ള ഗതാഗതം നിരോധിച്ചിരിക്കുന്നു, മുൻകൂട്ടി നിശ്ചയിച്ച നിയമങ്ങൾ ഇതിന് ഉത്തരവാദികളാണ് intrazone-default и interzone-default.

ചിത്രം 5 - സുരക്ഷാ മേഖലകൾ

ഈ ഉദാഹരണത്തിൽ, ആന്തരിക നെറ്റ്‌വർക്കിലെ ഒരു ഇന്റർഫേസ് സോണിലേക്ക് നിയുക്തമാക്കിയിരിക്കുന്നു ആന്തരിക, കൂടാതെ ഇൻറർനെറ്റ് അഭിമുഖീകരിക്കുന്ന ഇന്റർഫേസ് സോണിലേക്ക് നിയുക്തമാക്കിയിരിക്കുന്നു പുറമേയുള്ള. SSL VPN-നായി, ഒരു ടണൽ ഇന്റർഫേസ് സൃഷ്ടിക്കുകയും സോണിലേക്ക് അസൈൻ ചെയ്യുകയും ചെയ്തു VPN (അത്തിമരം 5).

പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ ഫയർവാൾ നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾക്ക് അഞ്ച് വ്യത്യസ്ത മോഡുകളിൽ പ്രവർത്തിക്കാനാകും:

• ടാപ്പ് ചെയ്യുക - നിരീക്ഷണത്തിനും വിശകലനത്തിനും വേണ്ടി ട്രാഫിക് ശേഖരിക്കാൻ ഉപയോഗിക്കുന്നു
• HA - ക്ലസ്റ്റർ പ്രവർത്തനത്തിന് ഉപയോഗിക്കുന്നു
• വെർച്വൽ വയർ - ഈ മോഡിൽ, പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ രണ്ട് ഇന്റർഫേസുകൾ സംയോജിപ്പിക്കുകയും MAC, IP വിലാസങ്ങൾ മാറ്റാതെ അവയ്‌ക്കിടയിൽ ട്രാഫിക്ക് സുതാര്യമായി കൈമാറുകയും ചെയ്യുന്നു.
• ലേയർ 2 - സ്വിച്ച് മോഡ്
• ലേയർ 3 - റൂട്ടർ മോഡ്

ചിത്രം 6 - ഇന്റർഫേസ് ഓപ്പറേറ്റിംഗ് മോഡ് സജ്ജമാക്കുന്നു

ഈ ഉദാഹരണത്തിൽ, Layer3 മോഡ് ഉപയോഗിക്കും (ചിത്രം 6). നെറ്റ്‌വർക്ക് ഇന്റർഫേസ് പാരാമീറ്ററുകൾ IP വിലാസം, ഓപ്പറേറ്റിംഗ് മോഡ്, അനുബന്ധ സുരക്ഷാ മേഖല എന്നിവ സൂചിപ്പിക്കുന്നു. ഇന്റർഫേസിന്റെ ഓപ്പറേറ്റിംഗ് മോഡ് കൂടാതെ, നിങ്ങൾ അത് വെർച്വൽ റൂട്ടർ വെർച്വൽ റൂട്ടറിലേക്ക് നൽകണം, ഇത് പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളിലെ ഒരു വിആർഎഫ് ഉദാഹരണത്തിന്റെ അനലോഗ് ആണ്. വെർച്വൽ റൂട്ടറുകൾ പരസ്പരം വേർതിരിക്കപ്പെടുന്നു, കൂടാതെ അവരുടേതായ റൂട്ടിംഗ് ടേബിളുകളും നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോൾ ക്രമീകരണങ്ങളും ഉണ്ട്.

വെർച്വൽ റൂട്ടർ ക്രമീകരണങ്ങൾ സ്റ്റാറ്റിക് റൂട്ടുകളും റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ ക്രമീകരണങ്ങളും വ്യക്തമാക്കുന്നു. ഈ ഉദാഹരണത്തിൽ, ബാഹ്യ നെറ്റ്‌വർക്കുകൾ ആക്‌സസ് ചെയ്യുന്നതിനായി ഒരു ഡിഫോൾട്ട് റൂട്ട് മാത്രമേ സൃഷ്‌ടിച്ചിട്ടുള്ളൂ (ചിത്രം 7).

ചിത്രം 7 - ഒരു വെർച്വൽ റൂട്ടർ സജ്ജീകരിക്കുന്നു

അടുത്ത കോൺഫിഗറേഷൻ ഘട്ടം ട്രാഫിക് നയങ്ങൾ, വിഭാഗം നയങ്ങൾ -> സുരക്ഷ. കോൺഫിഗറേഷന്റെ ഒരു ഉദാഹരണം ചിത്രം 8-ൽ കാണിച്ചിരിക്കുന്നു. നിയമങ്ങളുടെ യുക്തി എല്ലാ ഫയർവാളുകൾക്കും തുല്യമാണ്. നിയമങ്ങൾ മുകളിൽ നിന്ന് താഴേക്ക്, ആദ്യ മത്സരം വരെ പരിശോധിക്കുന്നു. നിയമങ്ങളുടെ സംക്ഷിപ്ത വിവരണം:

1. SSL VPN വെബ് പോർട്ടലിലേക്കുള്ള ആക്സസ്. റിമോട്ട് കണക്ഷനുകൾ ആധികാരികമാക്കാൻ വെബ് പോർട്ടലിലേക്ക് പ്രവേശനം അനുവദിക്കുന്നു
2. VPN ട്രാഫിക് - റിമോട്ട് കണക്ഷനുകൾക്കും ഹെഡ് ഓഫീസിനുമിടയിൽ ട്രാഫിക് അനുവദിക്കുന്നു
3. അടിസ്ഥാന ഇന്റർനെറ്റ് - dns, ping, traceroute, ntp ആപ്ലിക്കേഷനുകൾ അനുവദിക്കുന്നു. പോർട്ട് നമ്പറുകൾക്കും പ്രോട്ടോക്കോളുകൾക്കും പകരം സിഗ്നേച്ചറുകൾ, ഡീകോഡിംഗ്, ഹ്യൂറിസ്റ്റിക്സ് എന്നിവയെ അടിസ്ഥാനമാക്കിയുള്ള ആപ്ലിക്കേഷനുകൾ ഫയർവാൾ അനുവദിക്കുന്നു, അതിനാലാണ് സേവന വിഭാഗം ആപ്ലിക്കേഷൻ ഡിഫോൾട്ട് എന്ന് പറയുന്നത്. ഈ ആപ്ലിക്കേഷന്റെ ഡിഫോൾട്ട് പോർട്ട്/പ്രോട്ടോക്കോൾ
4. വെബ് ആക്സസ് - ആപ്ലിക്കേഷൻ നിയന്ത്രണമില്ലാതെ HTTP, HTTPS പ്രോട്ടോക്കോളുകൾ വഴി ഇന്റർനെറ്റ് ആക്സസ് അനുവദിക്കുന്നു
5,6 മറ്റ് ട്രാഫിക്കിനുള്ള ഡിഫോൾട്ട് നിയമങ്ങൾ.

ചിത്രം 8 - നെറ്റ്‌വർക്ക് നിയമങ്ങൾ സജ്ജീകരിക്കുന്നതിനുള്ള ഉദാഹരണം

NAT കോൺഫിഗർ ചെയ്യുന്നതിന്, വിഭാഗം ഉപയോഗിക്കുക നയങ്ങൾ -> NAT. NAT കോൺഫിഗറേഷന്റെ ഒരു ഉദാഹരണം ചിത്രം 9 ൽ കാണിച്ചിരിക്കുന്നു.

ചിത്രം 9 - NAT കോൺഫിഗറേഷന്റെ ഉദാഹരണം

ഇന്റേണൽ മുതൽ എക്‌സ്‌റ്റേണൽ വരെയുള്ള ഏത് ട്രാഫിക്കിനും, നിങ്ങൾക്ക് ഉറവിട വിലാസം ഫയർവാളിന്റെ ബാഹ്യ IP വിലാസത്തിലേക്ക് മാറ്റാനും ഡൈനാമിക് പോർട്ട് വിലാസം (PAT) ഉപയോഗിക്കാനും കഴിയും.

4. LDAP ഓതന്റിക്കേഷൻ പ്രൊഫൈലും ഉപയോക്തൃ ഐഡന്റിഫിക്കേഷൻ ഫംഗ്ഷനും ക്രമീകരിക്കുന്നു
SSL-VPN വഴി ഉപയോക്താക്കളെ ബന്ധിപ്പിക്കുന്നതിന് മുമ്പ്, നിങ്ങൾ ഒരു പ്രാമാണീകരണ സംവിധാനം ക്രമീകരിക്കേണ്ടതുണ്ട്. ഈ ഉദാഹരണത്തിൽ, പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ വെബ് ഇന്റർഫേസ് വഴി ആക്ടീവ് ഡയറക്‌ടറി ഡൊമെയ്‌ൻ കൺട്രോളറിലേക്ക് പ്രാമാണീകരണം സംഭവിക്കും.

ചിത്രം 10 - LDAP പ്രൊഫൈൽ

പ്രാമാണീകരണം പ്രവർത്തിക്കുന്നതിന്, നിങ്ങൾ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട് LDAP പ്രൊഫൈൽ и പ്രാമാണീകരണ പ്രൊഫൈൽ. വിഭാഗത്തിൽ ഉപകരണം -> സെർവർ പ്രൊഫൈലുകൾ -> LDAP (ചിത്രം 10) ഗ്രൂപ്പുകളിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്ന ഡൊമെയ്ൻ കൺട്രോളറിന്റെ IP വിലാസവും പോർട്ടും LDAP തരവും ഉപയോക്തൃ അക്കൗണ്ടും നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട്. സെർവർ ഓപ്പറേറ്റർമാർ, ഇവന്റ് ലോഗ് റീഡറുകൾ, COM ഉപയോക്താക്കൾ വിതരണം ചെയ്തു. തുടർന്ന് വിഭാഗത്തിൽ ഉപകരണം -> പ്രാമാണീകരണ പ്രൊഫൈൽ ഒരു ആധികാരികത പ്രൊഫൈൽ സൃഷ്ടിക്കുക (ചിത്രം 11), മുമ്പ് സൃഷ്ടിച്ചത് അടയാളപ്പെടുത്തുക LDAP പ്രൊഫൈൽ കൂടാതെ വിപുലമായ ടാബിൽ വിദൂര ആക്സസ് അനുവദിച്ചിരിക്കുന്ന ഉപയോക്താക്കളുടെ ഗ്രൂപ്പിനെ (ചിത്രം 12) ഞങ്ങൾ സൂചിപ്പിക്കുന്നു. നിങ്ങളുടെ പ്രൊഫൈലിലെ പാരാമീറ്റർ ശ്രദ്ധിക്കേണ്ടത് പ്രധാനമാണ് ഉപയോക്തൃ ഡൊമെയ്ൻ, അല്ലെങ്കിൽ ഗ്രൂപ്പ് അടിസ്ഥാനത്തിലുള്ള അംഗീകാരം പ്രവർത്തിക്കില്ല. ഫീൽഡ് NetBIOS ഡൊമെയ്ൻ നാമം സൂചിപ്പിക്കണം.

ചിത്രം 11 - പ്രാമാണീകരണ പ്രൊഫൈൽ

ചിത്രം 12 - എഡി ഗ്രൂപ്പ് തിരഞ്ഞെടുപ്പ്

അടുത്ത ഘട്ടം സജ്ജീകരണമാണ് ഉപകരണം -> ഉപയോക്തൃ ഐഡന്റിഫിക്കേഷൻ. ഇവിടെ നിങ്ങൾ ഡൊമെയ്ൻ കൺട്രോളറിന്റെ IP വിലാസം വ്യക്തമാക്കേണ്ടതുണ്ട്, കണക്ഷൻ ക്രെഡൻഷ്യലുകൾ, കൂടാതെ ക്രമീകരണങ്ങൾ ക്രമീകരിക്കുക സുരക്ഷാ ലോഗ് പ്രവർത്തനക്ഷമമാക്കുക, സെഷൻ പ്രവർത്തനക്ഷമമാക്കുക, അന്വേഷണം പ്രവർത്തനക്ഷമമാക്കുക (ചിത്രം 13). അധ്യായത്തിൽ ഗ്രൂപ്പ് മാപ്പിംഗ് (ചിത്രം 14) LDAP-യിലെ ഒബ്‌ജക്‌റ്റുകൾ തിരിച്ചറിയുന്നതിനുള്ള പരാമീറ്ററുകളും അംഗീകാരത്തിനായി ഉപയോഗിക്കുന്ന ഗ്രൂപ്പുകളുടെ ലിസ്റ്റും നിങ്ങൾ ശ്രദ്ധിക്കേണ്ടതുണ്ട്. പ്രാമാണീകരണ പ്രൊഫൈലിലെ പോലെ, ഇവിടെ നിങ്ങൾ ഉപയോക്തൃ ഡൊമെയ്ൻ പാരാമീറ്റർ സജ്ജമാക്കേണ്ടതുണ്ട്.

ചിത്രം 13 - ഉപയോക്തൃ മാപ്പിംഗ് പാരാമീറ്ററുകൾ

ചിത്രം 14 - ഗ്രൂപ്പ് മാപ്പിംഗ് പാരാമീറ്ററുകൾ

ഈ ഘട്ടത്തിലെ അവസാന ഘട്ടം ഒരു VPN സോണും ആ സോണിനായി ഒരു ഇന്റർഫേസും സൃഷ്ടിക്കുക എന്നതാണ്. നിങ്ങൾ ഇന്റർഫേസിൽ ഓപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കേണ്ടതുണ്ട് ഉപയോക്തൃ ഐഡന്റിഫിക്കേഷൻ പ്രവർത്തനക്ഷമമാക്കുക (അത്തിമരം 15).

ചിത്രം 15 - ഒരു VPN സോൺ സജ്ജീകരിക്കുന്നു

5. SSL VPN സജ്ജീകരിക്കുന്നു

ഒരു SSL VPN-ലേക്ക് കണക്‌റ്റുചെയ്യുന്നതിന് മുമ്പ്, വിദൂര ഉപയോക്താവ് വെബ് പോർട്ടലിലേക്ക് പോകുകയും ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് ക്ലയന്റ് ആധികാരികമാക്കുകയും ഡൗൺലോഡ് ചെയ്യുകയും വേണം. അടുത്തതായി, ഈ ക്ലയന്റ് ക്രെഡൻഷ്യലുകൾ അഭ്യർത്ഥിക്കുകയും കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് ബന്ധിപ്പിക്കുകയും ചെയ്യും. വെബ് പോർട്ടൽ https മോഡിൽ പ്രവർത്തിക്കുന്നു, അതനുസരിച്ച്, നിങ്ങൾ അതിനായി ഒരു സർട്ടിഫിക്കറ്റ് ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. സാധ്യമെങ്കിൽ ഒരു പൊതു സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുക. അപ്പോൾ സൈറ്റിലെ സർട്ടിഫിക്കറ്റിന്റെ അസാധുതയെക്കുറിച്ച് ഉപയോക്താവിന് മുന്നറിയിപ്പ് ലഭിക്കില്ല. ഒരു പൊതു സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കാൻ സാധ്യമല്ലെങ്കിൽ, നിങ്ങളുടേതായ ഒന്ന് ഇഷ്യൂ ചെയ്യേണ്ടതുണ്ട്, അത് https നായി വെബ് പേജിൽ ഉപയോഗിക്കും. ഇത് സ്വയം ഒപ്പിടുകയോ പ്രാദേശിക സർട്ടിഫിക്കറ്റ് അതോറിറ്റി വഴി നൽകുകയോ ചെയ്യാം. വിദൂര കമ്പ്യൂട്ടറിന് വിശ്വസനീയമായ റൂട്ട് അധികാരികളുടെ പട്ടികയിൽ റൂട്ട് അല്ലെങ്കിൽ സ്വയം ഒപ്പിട്ട സർട്ടിഫിക്കറ്റ് ഉണ്ടായിരിക്കണം, അതിനാൽ വെബ് പോർട്ടലിലേക്ക് കണക്റ്റുചെയ്യുമ്പോൾ ഉപയോക്താവിന് ഒരു പിശക് ലഭിക്കില്ല. ഈ ഉദാഹരണം ആക്റ്റീവ് ഡയറക്‌ടറി സർട്ടിഫിക്കറ്റ് സേവനങ്ങൾ മുഖേന നൽകുന്ന ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കും.

ഒരു സർട്ടിഫിക്കറ്റ് നൽകുന്നതിന്, വിഭാഗത്തിൽ നിങ്ങൾ ഒരു സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന സൃഷ്ടിക്കേണ്ടതുണ്ട് ഉപകരണം -> സർട്ടിഫിക്കറ്റ് മാനേജ്മെന്റ് -> സർട്ടിഫിക്കറ്റുകൾ -> ജനറേറ്റ്. അഭ്യർത്ഥനയിൽ ഞങ്ങൾ സർട്ടിഫിക്കറ്റിന്റെ പേരും വെബ് പോർട്ടലിന്റെ IP വിലാസവും FQDN ഉം സൂചിപ്പിക്കുന്നു (ചിത്രം 16). അഭ്യർത്ഥന സൃഷ്ടിച്ച ശേഷം, ഡൗൺലോഡ് ചെയ്യുക .csr AD CS വെബ് എൻറോൾമെന്റ് വെബ് ഫോമിലെ സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന ഫീൽഡിലേക്ക് അതിന്റെ ഉള്ളടക്കങ്ങൾ ഫയൽ ചെയ്ത് പകർത്തുക. സർട്ടിഫിക്കറ്റ് അതോറിറ്റി എങ്ങനെ കോൺഫിഗർ ചെയ്തിരിക്കുന്നു എന്നതിനെ ആശ്രയിച്ച്, സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന അംഗീകരിക്കുകയും ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റ് ഫോർമാറ്റിൽ ഡൗൺലോഡ് ചെയ്യുകയും വേണം. Base64 എൻകോഡ് ചെയ്ത സർട്ടിഫിക്കറ്റ്. കൂടാതെ, നിങ്ങൾ സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയുടെ റൂട്ട് സർട്ടിഫിക്കറ്റ് ഡൗൺലോഡ് ചെയ്യേണ്ടതുണ്ട്. അപ്പോൾ നിങ്ങൾ രണ്ട് സർട്ടിഫിക്കറ്റുകളും ഫയർവാളിലേക്ക് ഇറക്കുമതി ചെയ്യേണ്ടതുണ്ട്. ഒരു വെബ് പോർട്ടലിനായി ഒരു സർട്ടിഫിക്കറ്റ് ഇറക്കുമതി ചെയ്യുമ്പോൾ, നിങ്ങൾ തീർച്ചപ്പെടുത്താത്ത നിലയിലുള്ള അഭ്യർത്ഥന തിരഞ്ഞെടുത്ത് ഇറക്കുമതി ക്ലിക്ക് ചെയ്യണം. സർട്ടിഫിക്കറ്റിന്റെ പേര് അഭ്യർത്ഥനയിൽ നേരത്തെ വ്യക്തമാക്കിയ പേരുമായി പൊരുത്തപ്പെടണം. റൂട്ട് സർട്ടിഫിക്കറ്റിന്റെ പേര് ഏകപക്ഷീയമായി വ്യക്തമാക്കാം. സർട്ടിഫിക്കറ്റ് ഇറക്കുമതി ചെയ്ത ശേഷം, നിങ്ങൾ സൃഷ്ടിക്കേണ്ടതുണ്ട് SSL/TLS സേവന പ്രൊഫൈൽ വിഭാഗം ഉപകരണം -> സർട്ടിഫിക്കറ്റ് മാനേജ്മെന്റ്. പ്രൊഫൈലിൽ ഞങ്ങൾ മുമ്പ് ഇറക്കുമതി ചെയ്ത സർട്ടിഫിക്കറ്റ് സൂചിപ്പിക്കുന്നു.

ചിത്രം 16 - സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന

അടുത്ത ഘട്ടം ഒബ്‌ജക്‌റ്റുകൾ സജ്ജീകരിക്കുക എന്നതാണ് ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് ഗേറ്റ്‌വേ и ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് പോർട്ടൽ വിഭാഗം നെറ്റ്‌വർക്ക് -> ഗ്ലോബൽ പ്രൊട്ടക്റ്റ്. ക്രമീകരണങ്ങളിൽ ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് ഗേറ്റ്‌വേ ഫയർവാളിന്റെ ബാഹ്യ ഐപി വിലാസം സൂചിപ്പിക്കുക, അതുപോലെ മുമ്പ് സൃഷ്ടിച്ചത് SSL പ്രൊഫൈൽ, പ്രാമാണീകരണ പ്രൊഫൈൽ, ടണൽ ഇന്റർഫേസും ക്ലയന്റ് ഐപി ക്രമീകരണങ്ങളും. ക്ലയന്റിലേക്ക് വിലാസം നൽകപ്പെടുന്ന ഐപി വിലാസങ്ങളുടെ ഒരു പൂൾ നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട്, കൂടാതെ ആക്സസ് റൂട്ട് - ഇവയാണ് ക്ലയന്റിന് ഒരു റൂട്ട് ഉള്ള സബ്‌നെറ്റുകൾ. എല്ലാ ഉപയോക്തൃ ട്രാഫിക്കും ഒരു ഫയർവാളിലൂടെ പൊതിയുക എന്നതാണ് ചുമതല എങ്കിൽ, നിങ്ങൾ സബ്നെറ്റ് 0.0.0.0/0 (ചിത്രം 17) വ്യക്തമാക്കേണ്ടതുണ്ട്.

ചിത്രം 17 - IP വിലാസങ്ങളുടെയും റൂട്ടുകളുടെയും ഒരു പൂൾ കോൺഫിഗർ ചെയ്യുന്നു

അപ്പോൾ നിങ്ങൾ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട് ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് പോർട്ടൽ. ഫയർവാളിന്റെ IP വിലാസം വ്യക്തമാക്കുക, SSL പ്രൊഫൈൽ и പ്രാമാണീകരണ പ്രൊഫൈൽ ക്ലയന്റ് ബന്ധിപ്പിക്കുന്ന ഫയർവാളുകളുടെ ബാഹ്യ ഐപി വിലാസങ്ങളുടെ ഒരു ലിസ്റ്റ്. നിരവധി ഫയർവാളുകൾ ഉണ്ടെങ്കിൽ, ഓരോന്നിനും നിങ്ങൾക്ക് മുൻഗണന നൽകാം, അതനുസരിച്ച് ഉപയോക്താക്കൾ കണക്റ്റുചെയ്യാൻ ഒരു ഫയർവാൾ തിരഞ്ഞെടുക്കും.

വിഭാഗം ഉപകരണം -> GlobalProtect Client നിങ്ങൾ പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ സെർവറുകളിൽ നിന്ന് VPN ക്ലയന്റ് വിതരണം ഡൗൺലോഡ് ചെയ്‌ത് അത് സജീവമാക്കേണ്ടതുണ്ട്. കണക്റ്റുചെയ്യുന്നതിന്, ഉപയോക്താവ് പോർട്ടൽ വെബ് പേജിലേക്ക് പോകണം, അവിടെ ഡൗൺലോഡ് ചെയ്യാൻ ആവശ്യപ്പെടും ഗ്ലോബൽ പ്രൊട്ടക്റ്റ് ക്ലയന്റ്. ഡൗൺലോഡ് ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്തുകഴിഞ്ഞാൽ, നിങ്ങൾക്ക് നിങ്ങളുടെ ക്രെഡൻഷ്യലുകൾ നൽകാനും SSL VPN വഴി നിങ്ങളുടെ കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാനും കഴിയും.

തീരുമാനം

ഇത് സജ്ജീകരണത്തിന്റെ പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളുടെ ഭാഗം പൂർത്തിയാക്കുന്നു. വിവരങ്ങൾ ഉപയോഗപ്രദമായിരുന്നുവെന്നും പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകളിൽ ഉപയോഗിക്കുന്ന സാങ്കേതികവിദ്യകളെക്കുറിച്ച് വായനക്കാരന് ഒരു ധാരണ ലഭിക്കുമെന്നും ഞങ്ങൾ പ്രതീക്ഷിക്കുന്നു. ഭാവിയിലെ ലേഖനങ്ങൾക്കുള്ള വിഷയങ്ങളെക്കുറിച്ചുള്ള സജ്ജീകരണത്തെയും നിർദ്ദേശങ്ങളെയും കുറിച്ച് നിങ്ങൾക്ക് ചോദ്യങ്ങളുണ്ടെങ്കിൽ, അവ അഭിപ്രായങ്ങളിൽ എഴുതുക, ഉത്തരം നൽകുന്നതിൽ ഞങ്ങൾക്ക് സന്തോഷമുണ്ട്.

അവലംബം: www.habr.com