Layer3<\/b> \u2013 routermodus<\/li>\n<\/ul>\n \nAfbeelding 6 \u2013 Configuratie van de interfacefunctie<\/i><\/p>\n
In dit voorbeeld wordt de Layer3-modus gebruikt (zie fig. 6). In de netwerkinterface-instellingen wordt een IP-adres, modus en bijbehorende beveiligingszone opgegeven. Naast de interface-instellingen moet deze ook aan de virtuele router Virtual Router worden toegewezen, wat vergelijkbaar is met een VRF-instantie in Palo Alto Networks. Virtuele routers zijn van elkaar ge\u00efsoleerd en hebben hun eigen routeringtabel en instellingen voor netwerkprotocollen.<\/p>\n
In de instellingen van de virtuele router worden statische routes en routeringsprotocollen opgegeven. In dit voorbeeld is er alleen een standaardroute aangemaakt voor toegang tot externe netwerken (zie fig. 7).<\/p>\n
Afbeelding 7 \u2013 Configuratie van de virtuele router<\/i><\/p>\n
De volgende stap in de configuratie is het verkeersbeleid, sectie Policies -> Security<\/b>. Een voorbeeld van de configuratie is weergegeven in afbeelding 8. De logica van de regels is dezelfde als bij alle firewalls. Regels worden van boven naar beneden gecontroleerd, totdat er een overeenkomst wordt gevonden. Korte beschrijving van de regels:<\/p>\n
1. SSL VPN-toegang tot het webportaal. Staat toegang tot het webportaal toe voor authenticatie van externe verbindingen
Afbeelding 8 \u2014 Voorbeeld van de configuratie van netwerkregels<\/i><\/p>\n
Voor het configureren van NAT wordt de sectie gebruikt Policies -> NAT<\/b>. Een voorbeeld van NAT-configuratie is weergegeven in afbeelding 9.<\/p>\n
Afbeelding 9 \u2013 Voorbeeld van NAT-configuratie<\/i><\/p>\n
Voor elk verkeer van intern naar extern kan het bronadres worden gewijzigd in het externe IP-adres van de firewall en kan een dynamisch poortadres (PAT) worden gebruikt.<\/p>\n
4. Configuratie van LDAP-authenticatieprofiel en functie voor gebruikersidentificatie<\/b>
Figuur 10 \u2013 LDAP-profiel<\/i><\/p>\n
Om ervoor te zorgen dat de authenticatie werkt, moet je LDAP-profiel<\/b> en Authenticatieprofiel<\/b>. In de sectie Apparaat -> Serverprofielen -> LDAP<\/b> (fig. 10) moet je het IP-adres en de poort van de domeincontroller, het type LDAP en het gebruikersaccount dat lid is van de groepen Server Operators<\/b>, Event Log Readers<\/b>, Distributed COM Users<\/b>. Vervolgens in de sectie Apparaat -> Authenticatieprofiel<\/b> maken we een authentificatieprofiel (fig. 11), waarbij we het eerder gemaakte LDAP-profiel<\/b> aangeven en op het tabblad Geavanceerd de gebruikersgroep (fig. 12) opgeven die toegang op afstand is toegestaan. Het is belangrijk om de parameter Gebruikersdomein<\/b>, in het profiel op te nemen, anders zal de autorisatie op basis van groepen niet werken. Het veld moet de NetBIOS-naam van het domein bevatten.<\/p>\n
Figuur 11 \u2013 Authenticatieprofiel<\/i><\/p>\n
Figuur 12 \u2013 Groep AD selecteren<\/i><\/p>\n
De volgende stap is het instellen van Apparaat -> Gebruikersidentificatie<\/b>. Hier moet je het IP-adres van de domeincontroller, de inloggegevens voor de verbinding en ook de parameters instellen Beveiligingslog inschakelen<\/b>, Sessie inschakelen<\/b>, Probing inschakelen<\/b> (fig. 13). In de sectie Groep Mapping<\/b> (fig. 14) moeten de identificatieparameters van de objecten in LDAP en de lijst van groepen die voor autorisatie zullen worden gebruikt, worden aangegeven. Net als in het Authenticatieprofiel, moet hier de parameter Gebruikersdomein worden ingesteld.<\/p>\n
Figuur 13 \u2013 User Mapping-instellingen<\/i><\/p>\n
Figuur 14 \u2013 Groep Mapping-instellingen<\/i><\/p>\n
De laatste stap in deze fase is het cre\u00ebren van een VPN-zone en een interface voor deze zone. Op de interface moet je de parameter Gebruikersidentificatie inschakelen<\/b> (fig. 15) inschakelen.<\/p>\n
Figuur 15 \u2013 VPN-zone configureren<\/i><\/p>\n5. Configuratie van SSL VPN<\/h4>\n
\nVoordat een externe gebruiker verbinding maakt met SSL VPN, moet hij naar het webportaal gaan, zich aanmelden en de Global Protect-client downloaden. Vervolgens vraagt deze client om gebruikersgegevens en verbindt met het bedrijfsnetwerk. Het webportaal werkt in https-modus en daarom moet er een certificaat voor worden ge\u00efnstalleerd. Gebruik een publiek certificaat, als dat mogelijk is. Dan ontvangt de gebruiker geen waarschuwing over de ongeldigheid van het certificaat op de site. Als het niet mogelijk is om een publiek certificaat te gebruiken, moet je een eigen certificaat uitgeven dat op de webpagina voor https zal worden toegepast. Dit kan zelfondertekend zijn of uitgegeven via een lokale certificeringsinstantie. De externe computer moet het root- of zelfondertekende certificaat in de lijst met vertrouwde rootcertificaten hebben, zodat de gebruiker geen foutmelding krijgt bij het verbinden met het webportaal. In dit voorbeeld zullen we een certificaat gebruiken dat is uitgegeven via de Active Directory Certificate Services certificeringsinstantie.<\/p>\n
Om een certificaat uit te geven, moet je een certificaatverzoek aanmaken in het gedeelte Apparaat -> Certificaatbeheer -> Certificaten -> Genereren<\/b>. In het verzoek geef je de naam van het certificaat en het IP-adres of de FQDN van het webportaal op (zie fig. 16). Na het genereren van het verzoek downloaden we .csr<\/b> bestand en kopi\u00ebren de inhoud ervan in het veld voor het certificaatverzoek in het webformulier AD CS Web Enrollment. Afhankelijk van de instellingen van de certificeringsinstantie moet het certificaatverzoek goedgekeurd worden en moet het uitgegeven certificaat in het formaat Base64 Encoded Certificate<\/b>worden gedownload. Daarnaast moet ook het rootcertificaat van de certificeringsinstantie worden gedownload. Vervolgens moeten beide certificaten op de firewall worden ge\u00efmporteerd. Bij het importeren van het certificaat voor het webportaal moet het verzoek met status pending worden geselecteerd en op import worden geklikt. De naam van het certificaat moet overeenkomen met de naam die eerder in het verzoek is opgegeven. De naam van het rootcertificaat kan willekeurig worden opgegeven. Na het importeren van het certificaat moet je een SSL\/TLS Service Profiel<\/b> in de sectie Apparaat -> Certificaatbeheer<\/b>. In het profiel geven we het eerder ge\u00efmporteerde certificaat op. <\/p>\n
Figuur 16 \u2013 Certificaatverzoek<\/i><\/p>\n
De volgende stap is de configuratie van de objects Global Protect Gateway<\/b> en Global Protect Portal<\/b> in de sectie Netwerk -> Global Protect<\/b>. In de instellingen Global Protect Gateway<\/b> geef je het externe IP-adres van de firewall op, evenals de eerder aangemaakte SSL-profiel<\/b>, Authenticatieprofiel<\/b>, tunneling interface en IP-instellingen van de client. Een IP-adressenpool moet worden ingesteld waaruit het adres aan de client zal worden toegewezen, en de Access Route \u2013 dit zijn de subnetten waar de route voor de client zal zijn. Als het de bedoeling is om al het verkeer van de gebruiker door de firewall te leiden, moet het subnet 0.0.0.0\/0 worden opgegeven (fig. 17).<\/p>\n
Figuur 17 \u2013 Instelling van de IP-adressenpool en routes<\/i><\/p>\n
Daarna moet worden ingesteld Global Protect Portal<\/b>. Geef het IP-adres van de firewall op, SSL-profiel<\/b> en Authenticatieprofiel<\/b> en de lijst met externe IP-adressen van de firewalls waarmee de client verbinding zal maken. Als er meerdere firewalls zijn, kan er voor elke firewall een prioriteit worden ingesteld, volgens welke gebruikers de firewall voor verbinding zullen kiezen.<\/p>\n
In de sectie Apparaat -> GlobalProtect Client<\/b> moet de VPN-clientinstallatie van de servers van Palo Alto Networks worden gedownload en geactiveerd. Voor verbinding moet de gebruiker de webpagina van het portaal bezoeken, waar hij wordt gevraagd om te downloaden GlobalProtect Client<\/b>. Na het downloaden en installeren kunnen gebruikers hun inloggegevens invoeren en verbinding maken met het bedrijfsnetwerk via SSL VPN.<\/p>\nConclusie<\/h4>\n
\nHiermee is het deel van de configuratie van Palo Alto Networks voltooid. We hopen dat de informatie nuttig was en dat de lezer inzicht heeft gekregen in de technologie\u00ebn die door Palo Alto Networks worden gebruikt. Als je vragen hebt over de configuratie of suggesties voor onderwerpen van toekomstige artikelen, laat ze dan in de opmerkingen achter; we beantwoorden ze graag.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Kenmerken](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")