{"id":32137,"date":"2019-10-31T21:45:21","date_gmt":"2019-10-31T18:45:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks\/"},"modified":"2019-10-31T21:45:21","modified_gmt":"2019-10-31T18:45:21","slug":"nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","title":{"rendered":"Instellen van IPSec Site-to-Site VPN op apparatuur van Palo Alto Networks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Instellen
\n
\nDit artikel is een vervolg op het eerdere materiaal<\/a><\/noindex>, dat is gewijd aan de kenmerken van de configuratie van de apparatuur Palo Alto Networks <\/b>. Hier willen we het hebben over de configuratie van IPSec Site-to-Site VPN<\/b> op de apparatuur Palo Alto Networks<\/b> en over een mogelijke configuratieoptie voor de verbinding van meerdere internetproviders.
\n<\/a><\/noindex>
\nVoor de demonstratie zullen we een standaardconfiguratie gebruiken waarbij het hoofdkantoor is verbonden met een filiaal. Om een betrouwbare internetverbinding te garanderen, gebruikt het hoofdkantoor gelijktijdige verbindingen met twee providers: ISP-1 en ISP-2. Het filiaal heeft verbinding met slechts \u00e9\u00e9n provider, ISP-3. Tussen de firewalls PA-1 en PA-2 worden twee tunnels opgezet. De tunnels werken in de modus Active-Standby<\/b>, Tunnel-1 is actief, Tunnel-2 zal beginnen met het verzenden van verkeer bij uitval van Tunnel-1. Tunnel-1 gebruikt de verbinding met internetprovider ISP-1, Tunnel-2 gebruikt de verbinding met internetprovider ISP-2. Alle IP-adressen zijn willekeurig gegenereerd voor demonstratiedoeleinden en hebben geen verband met de werkelijkheid.<\/p>\n

\"Instellen
\n
\nVoor het opzetten van de Site-to-Site VPN zal gebruik worden gemaakt van IPSec<\/b> \u2014 een set protocollen voor het waarborgen van de gegevensbeveiliging die worden verzonden via het IP-protocol. IPSec <\/b>zal werken met het beveiligingsprotocol ESP <\/b>(Encapsulating Security Payload), wat encryptie van verzonden gegevens garandeert.<\/p>\n

In IPSec <\/b>gaat in IKE <\/b>(Internet Key Exchange) \u2014 een protocol dat verantwoordelijk is voor het onderhandelen van SA (security associations), de beveiligingsparameters die worden gebruikt ter bescherming van verzonden gegevens. Palo Alto firewalls ondersteunen IKEv1 <\/b>en IKEv2<\/b>.<\/p>\n

In IKEv1 <\/b>VPN verbinding wordt opgebouwd in twee fasen: IKEv1 Fase 1 <\/b>(IKE tunnel) en IKEv1 Fase 2<\/b> (IPSec tunnel), zodat er twee tunnels worden gecre\u00eberd, waarvan er \u00e9\u00e9n dient voor het uitwisselen van controle-informatie tussen de firewalls, terwijl de andere voor het verzenden van verkeer is. In IKEv1 Fase 1<\/b> bestaan er twee werkmodi \u2014 main mode en aggressive mode. Aggressive mode gebruikt minder berichten en werkt sneller, maar ondersteunt geen Peer Identity Protection.<\/p>\n

IKEv2 <\/b>is vervangen door IKEv1<\/b>, en in vergelijking daarmee is het belangrijkste voordeel \u2014 lagere bandbreedte-eisen en snellere SA-negotiatie. In IKEv1<\/b> wordt er minder controle-informatie gebruikt (slechts 4), het EAP-protocol wordt ondersteund, MOBIKE en er is een beschikbaarheidscontrolemechanisme toegevoegd voor de peer waarmee een tunnel wordt gevormd \u2014 IKEv2<\/b> Liveness Check , die Dead Peer Detection in IKEv1 vervangt. Als de controle niet slaagt,<\/b>, vervangt Dead Peer Detection in IKEv1. Als de controle niet slaagt, dan IKEv2 <\/b>kan de tunnel resetten en vervolgens automatisch herstellen bij de eerste gelegenheid. Meer details over de verschillen zijn te lezen hier<\/a><\/noindex>.<\/p>\n

Als de tunnel wordt opgezet tussen firewalls van verschillende fabrikanten, kunnen er bugs in de implementatie zijn IKEv2<\/b>, en voor compatibiliteit met dergelijke apparatuur is er de mogelijkheid om IKEv1<\/b>. In andere gevallen is het beter om IKEv2<\/b>.<\/p>\n

Stappen voor configuratie:<\/p>\n

\u2022 Twee internetproviders te configureren in ActiveStandby-modus<\/b><\/p>\n

Er zijn verschillende manieren om deze functie te implementeren. Een daarvan is het gebruik van de Path Monitoring<\/b>, dat beschikbaar is vanaf versie PAN-OS 8.0.0<\/b>. In dit voorbeeld wordt versie 8.0.16 gebruikt. Deze functie lijkt op IP SLA in Cisco-routers. In de parameter voor het statische standaardroute wordt ingesteld dat ping-pakketten naar een bepaald IP-adres worden verzonden vanaf een bepaald bronadres. In dit geval pinget interface ethernet1\/1 de standaardgateway elke seconde. Als er gedurende drie opeenvolgende pings geen antwoord is, wordt de route als niet-functioneel beschouwd en uit de routingtabel verwijderd. Een dergelijke route wordt ingesteld naar de tweede internetprovider, maar met een hogere metriek (dit is de back-up). Zodra de eerste route uit de tabel is verwijderd, begint de firewall het verkeer via de tweede route te sturen \u2014 Fail-Over<\/b>. Wanneer de eerste provider weer op de pings begint te reageren, keert zijn route terug in de tabel en vervangt de tweede route vanwege de betere metriek \u2014 Fail-Back<\/b>. Het proces Fail-Over<\/b> duurt enkele seconden, afhankelijk van de ingestelde intervallen, maar in ieder geval is het proces niet onmiddellijk, en in deze tijd gaat er verkeer verloren. Fail-Back<\/b> verloopt zonder verlies van verkeer. Het is mogelijk om dit Fail-Over<\/b> sneller te maken, met behulp van BFD<\/b>, als de internetprovider deze mogelijkheid biedt. BFD <\/b>is beschikbaar vanaf het model PA-3000 Series<\/b> en VM-100<\/b>. Voor het pingen is het beter om niet de gateway van de provider op te geven, maar een publiek, altijd beschikbare internetadres.<\/p>\n

\"Instellen
\n
\n\u2022 Het cre\u00ebren van een tunnelinterface<\/b><\/p>\n

Verkeer binnen de tunnel wordt verzonden via speciale virtuele interfaces. Op elk van deze moet een IP-adres uit het transitnetwerk zijn ingesteld. In dit voorbeeld zal voor Tunnel-1 het subnet 172.16.1.0\/30 worden gebruikt, en voor Tunnel-2 het subnet 172.16.2.0\/30.
\nDe tunnelinterface wordt aangemaakt in het gedeelte Network -> Interfaces -> Tunnel<\/b>U moet een virtuele router en een beveiligingszone opgeven, evenals een IP-adres uit het overeenkomstige transportnetwerk. Het interface nummer kan willekeurig zijn.<\/p>\n

\"Instellen
\n
\n\"Instellen
\n
\nIn de sectie Geavanceerd <\/b>kan worden opgegeven Beheerprofiel<\/b>, die ping op deze interface toestaat, kan nuttig zijn voor tests.<\/p>\n

\"Instellen
\n
\n\u2022 Configuratie van IKE-profiel<\/b><\/p>\n

IKE-profiel<\/b> is verantwoordelijk voor de eerste fase van het opzetten van de VPN-verbinding, hier worden de tunnelparameters opgegeven IKE Fase 1<\/b>. Het profiel wordt aangemaakt in het gedeelte Netwerk -> Netwerkprofielen -> IKE Crypto<\/b>. U moet het algoritme voor codering, hashing, de Diffie-Hellman-groep en de sleutellevensduur opgeven. In het algemeen geldt: hoe complexer de algoritmen, hoe slechter de prestaties, ze moeten worden gekozen op basis van specifieke beveiligingseisen. Het is echter ten zeerste aan te raden om een Diffie-Hellman-groep niet lager dan 14 te gebruiken voor het beschermen van belangrijke informatie. Dit is te wijten aan de kwetsbaarheid van het protocol, die alleen kan worden verminderd door modulaire groottes van 2048 bits en hoger te gebruiken, of door elliptische cryptografische algoritmen die worden toegepast in groepen 19, 20, 21, 24. Deze algoritmen hebben een betere prestatie in vergelijking met traditionele cryptografie. Meer informatie hier<\/a><\/noindex>. En hier<\/a><\/noindex>.<\/p>\n

\"Instellen
\n
\n\u2022 Configuratie van IPSec-profiel<\/b><\/p>\n

De tweede fase van het opzetten van de VPN-verbinding \u2014 IPSec-tunnel. De SA-parameters worden ingesteld in Netwerk -> Netwerkprofielen -> IPSec Crypto-profiel<\/b>. Hier moet u het IPSec-protocol opgeven \u2014 AH <\/b>of ESP<\/b>, evenals de parameters SA <\/b> \u2014 hashing-algoritmen, codering, Diffie-Hellman-groepen en sleutellevensduur. De SA-parameters in het IKE Crypto-profiel en IPSec Crypto-profiel hoeven niet overeen te komen.<\/p>\n

\"Instellen
\n
\n\u2022 Configuratie van IKE Gateway<\/b><\/p>\n

IKE Gateway<\/b> is het object dat de router of de firewall aanduidt waarmee de VPN-tunnel wordt opgezet. Voor elke tunnel moet een eigen worden aangemaakt IKE Gateway<\/b>. In dit geval worden er twee tunnels aangemaakt, \u00e9\u00e9n via elke internetprovider. Het overeenkomstige uitgaande interface en zijn IP-adres, het peer IP-adres, en de gedeelde sleutel worden opgegeven. Als alternatief voor de gedeelde sleutel kunnen certificaten worden gebruikt.<\/p>\n

\"Instellen
\n
\nHier wordt het eerder aangemaakte IKE Crypto-profiel<\/b>. De parameters van het tweede object IKE Gateway<\/b> zijn vergelijkbaar, met uitzondering van de IP-adressen. Als de Palo Alto Networks firewall zich achter een NAT-router bevindt, moet het mechanisme NAT Traversal<\/b>.<\/p>\n

\"Instellen
\n
\n\u2022 Configuratie van IPSec-tunnel<\/b><\/p>\n

IPSec-tunnel<\/b> \u2014 is an object that specifies the parameters of the IPSec tunnel, as the name suggests. Here, you need to specify the tunnel interface and previously created objects. IKE Gateway<\/b>, IPSec Crypto Profile<\/b>. To ensure automatic routing failover to the backup tunnel, it must be enabled. Tunnel Monitor<\/b>. This is a mechanism that checks if the peer is alive using ICMP traffic. The destination address must be the IP address of the tunnel interface of the peer with which the tunnel is established. The profile specifies timers and actions in case of a connection loss. Wait Recover<\/b> \u2013 wait until the connection is restored, Fail Over<\/b> \u2014 send traffic through another route if available. The configuration of the second tunnel is completely analogous; you specify the second tunnel interface and IKE Gateway.<\/p>\n

\"Instellen
\n
\n\"Instellen
\n
\n\u2022 Configuration of Routing<\/b><\/p>\n

In this example, static routing is used. On the PA-1 firewall, in addition to two default routes, two routes to the subnet 10.10.10.0\/24 in the branch must be specified. One route uses Tunnel-1, the other Tunnel-2. The route through Tunnel-1 is primary, as it has a lower metric. The mechanism Path Monitoring<\/b> is not used for these routes. The failover is handled by Tunnel Monitor<\/b>.<\/p>\n

\"Instellen
\n
\nThe same routes for the subnet 192.168.30.0\/24 need to be configured on PA-2.<\/p>\n

\"Instellen
\n
\n\u2022 Configuration of Network Rules<\/b><\/p>\n

Three rules are needed for the tunnel to operate:<\/p>\n

    \n
  1. To operate Path Monitor<\/b> allow ICMP on the external interfaces.<\/li>\n
  2. Voor IPSec <\/b>allow applications ike <\/b>en ipsec <\/b>on the external interfaces.<\/li>\n
  3. Allow traffic between internal subnets and tunnel interfaces.<\/li>\n<\/ol>\n

    \n\"Instellen
    \n
    \nConclusie<\/b><\/p>\n

    This article discusses a scenario for configuring a resilient internet connection and Site-to-Site VPN<\/b>. We hope the information was useful and that the reader gained insight into the technologies used in Palo Alto Networks<\/b>. If you have questions about the setup and suggestions for future article topics \u2014 please write them in the comments, we would be happy to respond.
    \n
    Bron:     habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

    \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u0435 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u044f Palo Alto Networks . \u0417\u0434\u0435\u0441\u044c \u043c\u044b \u0445\u043e\u0442\u0438\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 IPSec Site-to-Site VPN \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 Palo Alto Networks \u0438 \u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432. \u0414\u043b\u044f \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0430 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0433\u043e\u043b\u043e\u0432\u043d\u043e\u0433\u043e \u043e\u0444\u0438\u0441\u0430 \u043a \u0444\u0438\u043b\u0438\u0430\u043b\u0443. \u0414\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0442\u044c \u043e\u0442\u043a\u0430\u0437\u043e\u0443\u0441\u0442\u043e\u0439\u0447\u0438\u0432\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435, \u0432 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23973,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Configuring IPSec Site-to-Site VPN on Palo Alto Networks Equipment | ProHoster","description":"This article.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 IPSec Site-to-Site VPN \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0438 Palo Alto Networks | ProHoster","og:description":"\u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/nastrojka-ipsec-site-to-site-vpn-na-oborudovanii-palo-alto-networks","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:45:21+00:00","article:modified_time":"2019-10-31T18:45:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"32137","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 09:27:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:04:40","updated":"2026-01-21 09:27:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/32137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=32137"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/32137\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/23973"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=32137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=32137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=32137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}