Ten artykuł jest kontynuacją , poświęconego szczególnym cechom konfiguracji urządzeń Palo Alto Networks . Chcemy tutaj opisać konfigurację IPSec Site-to-Site VPN na urządzeniach Palo Alto Networks i o możliwym rozwiązaniu konfiguracji z wieloma dostawcami internetu.
Do demonstracji wykorzystana zostanie standardowa schemat połączenia głównej siedziby z oddziałem. Aby zapewnić niezawodne połączenie internetowe, w głównej siedzibie korzysta się jednocześnie z dwóch dostawców: ISP-1 i ISP-2. Oddział ma połączenie tylko z jednym dostawcą, ISP-3. Między zaporami ogniowymi PA-1 i PA-2 tworzone są dwa tunele. Tunele działają w trybie Active-Standby, Tunnel-1 jest aktywny, Tunnel-2 rozpocznie przesyłanie ruchu po awarii Tunnel-1. Tunnel-1 korzysta z połączenia z dostawcą internetowym ISP-1, Tunnel-2 korzysta z połączenia z dostawcą internetowym ISP-2. Wszystkie adresy IP zostały losowo wygenerowane w celach demonstracyjnych i nie mają związku z rzeczywistością.
Aby zbudować Site-to-Site VPN, zostanie użyty IPSec — zestaw protokołów służący do zapewnienia ochrony danych przesyłanych za pośrednictwem protokołu IP. IPSec będzie działać z użyciem protokołu bezpieczeństwa ESP (Encapsulating Security Payload), co zapewni szyfrowanie przesyłanych danych.
W IPSec wchodzi IKE (Internet Key Exchange) — protokół odpowiedzialny za negocjację SA (security associations), parametrów bezpieczeństwa, które są używane do ochrony przesyłanych danych. Zapory ogniowe PAN wspierają IKEv1 i IKEv2.
W IKEv1 Połączenie VPN jest budowane w dwóch etapach: IKEv1 Phase 1 (IKE tunnel) i IKEv1 Phase 2 (IPSec tunnel), dzięki czemu tworzone są dwa tunele, z których jeden służy do wymiany informacji kontrolnych między zaporami ogniowymi, a drugi — do przesyłania ruchu. W IKEv1 Phase 1 istnieją dwa tryby pracy — main mode i aggressive mode. Aggressive mode używa mniej wiadomości i działa szybciej, ale nie obsługuje Peer Identity Protection.
IKEv2 został zastąpiony IKEv1, a w porównaniu z IKEv1 jego główną zaletą są mniejsze wymagania dotyczące przepustowości i szybsza negocjacja SA. W IKEv2 używa się mniej wiadomości kontrolnych (łącznie 4), wspierany jest protokół EAP, MOBIKE i wprowadzono mechanizm sprawdzania dostępności peera, z którym tworzony jest tunel — Liveness Check, zastępujący Dead Peer Detection w IKEv1. Jeśli sprawdzenie nie powiedzie się, to IKEv2 może zresetować tunel, a następnie automatycznie przywrócić go przy pierwszej możliwości. Więcej na temat różnic można .
Jeśli tunel jest tworzony między zaporami ogniowymi różnych producentów, to mogą wystąpić błędy w implementacji IKEv2, a dla kompatybilności z takim sprzętem istnieje możliwość użycia IKEv1. W pozostałych przypadkach lepiej zastosować IKEv2.
Etapy konfiguracji:
• Konfiguracja dwóch dostawców Internetu w trybie ActiveStandby
Istnieje kilka sposobów na realizację tej funkcji. Jednym z nich jest wykorzystanie mechanizmu Path Monitoring, dostępnego od wersji PAN-OS 8.0.0. W tym przykładzie używana jest wersja 8.0.16. Funkcja ta jest podobna do IP SLA w routerach Cisco. W parametrze statycznej domyślnej trasy konfiguruje się wysyłanie pakietów ping do określonego adresu IP z określonego adresu źródłowego. W tym przypadku interfejs ethernet1/1 pinguje bramę domyślną co sekundę. Jeśli przez trzy z rzędu pingi nie ma odpowiedzi, trasa jest uznawana za nieaktywną i usuwana z tabeli routingu. Taka sama trasa jest konfigurowana w stronę drugiego dostawcy Internetu, ale z większą metryką (jest zapasowa). Gdy tylko pierwsza trasa zostanie usunięta z tabeli, zapora ogniowa zacznie przesyłać ruch drugą trasą — Fail-Over. Kiedy pierwszy dostawca zacznie odpowiadać na pingi, jego trasa wróci do tabeli i zastąpi drugą z powodu lepszej metryki — Fail-Back. Proces Fail-Over trwa kilka sekund w zależności od ustawionych interwałów, ale w każdym przypadku proces nie jest natychmiastowy, i w tym czasie ruch jest tracony. Fail-Back przebiega bez utraty ruchu. Istnieje możliwość przyspieszenia tego Fail-Over poprzez BFD, jeśli dostawca Internetu zapewni taką możliwość. BFD jest wspierany od modelu PA-3000 Series i VM-100. Jako adres do pingu lepiej wskazać nie bramę dostawcy, a publiczny, zawsze dostępny adres internetowy.
• Tworzenie interfejsu tunelowego
Ruch wewnątrz tunelu jest przesyłany przez specjalne wirtualne interfejsy. Na każdym z nich musi być skonfigurowany adres IP z sieci tranzytowej. W tym przykładzie dla Tunnel-1 będzie używana podsieć 172.16.1.0/30, a dla Tunnel-2 — podsieć 172.16.2.0/30.
Interfejs tunelowy tworzy się w sekcji Network -> Interfaces -> TunnelNależy wskazać wirtualny router i strefę bezpieczeństwa, a także adres IP z odpowiedniej sieci transportowej. Numer interfejsu może być dowolny.
W sekcji Advanced można wskazać Profil zarządzania, który zezwoli na ping na danym interfejsie, co może być pomocne w testowaniu.
• Konfiguracja profilu IKE
Profil IKE odpowiada za pierwszy etap tworzenia połączenia VPN, tutaj określa się parametry tunelu IKE Faza 1. Profil tworzony jest w sekcji Sieć -> Profile sieciowe -> IKE Crypto. Należy wskazać algorytm szyfrowania, haszowania, grupę Diffiego-Hellmana oraz czas życia kluczy. W ogólności, im bardziej skomplikowane algorytmy, tym gorsza wydajność; należy je dobierać w zależności od konkretnych wymagań dotyczących bezpieczeństwa. Jednak zdecydowanie nie zaleca się stosowania grupy Diffiego-Hellmana poniżej 14 w celu ochrony ważnych informacji. Wynika to z podatności protokołu, którą można zniwelować tylko stosując rozmiary modułów 2048 bitów i większe, lub algorytmy kryptografii eliptycznej, które są stosowane w grupach 19, 20, 21, 24. Algorytmy te charakteryzują się lepszą wydajnością w porównaniu do tradycyjnej kryptografii. . I .
• Konfiguracja profilu IPSec
Drugi etap tworzenia połączenia VPN — tunel IPSec. Parametry SA dla niego są konfigurowane w Sieć -> Profile sieciowe -> Profil IPSec Crypto. Tutaj należy wskazać protokół IPSec — AH lub ESP, a także parametry SA — algorytmy haszowania, szyfrowania, grupy Diffiego-Hellmana i czas życia kluczy. Parametry SA w profilu IKE Crypto i profilu IPSec Crypto mogą się różnić.
• Konfiguracja bramy IKE
Bramka IKE — to obiekt oznaczający router lub zaporę sieciową, z którym tworzy się tunel VPN. Dla każdego tunelu należy stworzyć swoją Bramka IKE. W tym przypadku tworzonych jest dwa tunele, jeden przez każdego dostawcę internetu. Wskazuje się odpowiedni interfejs wychodzący oraz jego adres IP, adres IP drugiej strony oraz klucz wspólny. Alternatywnie do klucza wspólnego można użyć certyfikatów.
Tutaj wskazuje się wcześniej utworzony Profil IKE Crypto. Parametry drugiego obiektu Bramka IKE są analogiczne, z wyjątkiem adresów IP. Jeśli zapora sieciowa Palo Alto Networks znajduje się za routerem NAT, należy włączyć mechanizm NAT Traversal.
• Konfiguracja tunelu IPSec
Tunel IPSec — to obiekt, w którym określa się parametry tunelu IPSec, co sugeruje jego nazwa. Należy podać interfejs tunelowy oraz wcześniej utworzone obiekty. Bramka IKE, Profil kryptograficzny IPSec. Aby zapewnić automatyczne przełączenie routingu na zapasowy tunel, należy włączyć Monitor tunelu. To mechanizm, który sprawdza, czy sąsiad jest aktywny, korzystając z ruchu ICMP. W polu adresu docelowego należy podać adres IP interfejsu tunelowego sąsiada, z którym budowany jest tunel. W profilu określane są timery i akcje w przypadku utraty połączenia. Czekaj na odzyskanie – czekać, aż połączenie zostanie przywrócone, Zmień trasę — przesłać ruch inną trasą, jeśli taka istnieje. Konfiguracja drugiego tunelu jest całkowicie analogiczna, należy podać drugi interfejs tunelowy i bramę IKE.
• Konfiguracja routingu
W tym przykładzie używana jest statyczna trasy. Na zaporze PA-1, oprócz dwóch domyślnych tras, należy wskazać dwie trasy do podsieci 10.10.10.0/24 w oddziale. Jedna trasa korzysta z Tunnel-1, druga z Tunnel-2. Trasa przez Tunnel-1 jest trasą główną, ponieważ ma niższą metrykę. Mechanizm Path Monitoring nie jest używany dla tych tras. Za przełączanie odpowiada Monitor tunelu.
Takie same trasy dla podsieci 192.168.30.0/24 należy skonfigurować na PA-2.
• Konfiguracja reguł sieciowych
Do działania tunelu potrzebne są trzy zasady:
- Aby działać Monitor ścieżki zezwolić na ICMP na zewnętrznych interfejsach.
- Dla IPSec zezwolić na aplikacje ike i ipsec na zewnętrznych interfejsach.
- Zezwolenie na ruch między wewnętrznymi podsieciami a interfejsami tunelowymi.
Podsumowanie
W tym artykule omówiono sposób konfiguracji niezawodnego połączenia internetowego oraz VPN Site-to-Site. Mamy nadzieję, że informacje były pomocne i że czytelnik zdobył wiedzę na temat technologii stosowanych w Palo Alto Networks. Jeśli masz pytania dotyczące konfiguracji lub sugestie dotyczące tematów przyszłych artykułów — pisz je w komentarzach, chętnie odpowiemy.
Źródło: habr.com
