Mimo licznych zalet zapór sieciowych Palo Alto Networks, w polskim internecie jest niewiele materiałów dotyczących konfiguracji tych urządzeń oraz opisujących doświadczenia z ich wdrożeniem. Postanowiliśmy zebrać materiały, które zgromadziliśmy podczas pracy z urządzeniami tego producenta i opowiedzieć o specyfice, z jakimi się spotkaliśmy w trakcie realizacji różnych projektów.
Aby zapoznać się z Palo Alto Networks, w tym artykule omówimy ustawienia potrzebne do rozwiązania jednego z najczęściej występujących zadań w zakresie zabezpieczeń sieci, czyli SSL VPN do zdalnego dostępu. Porozmawiamy także o funkcjach pomocniczych związanych z ogólną konfiguracją zapory, identyfikacją użytkowników, aplikacji oraz politykami bezpieczeństwa. Jeśli temat zainteresuje czytelników, w przyszłości opublikujemy materiały z analizą Site-to-Site VPN, dynamicznego routingu i zarządzania centralnego przy pomocy Panorama.
Zapory sieciowe Palo Alto Networks wykorzystują szereg innowacyjnych technologii, w tym App-ID, User-ID i Content-ID. Zastosowanie tych funkcji pozwala zapewnić wysoki poziom bezpieczeństwa. Na przykład, dzięki App-ID możliwe jest identyfikowanie ruchu aplikacji na podstawie sygnatur, dekodowania i heurystyki, niezależnie od używanego portu i protokołu, w tym w obrębie tunelu SSL. User-ID umożliwia identyfikację użytkowników sieci poprzez integrację z LDAP. Content-ID pozwala skanować ruch i identyfikować przesyłane pliki oraz ich zawartość. Do innych funkcji zapór sieciowych należą ochrona przed włamaniami, ochrona przed lukami bezpieczeństwa oraz atakami DoS, wbudowany antywirus, filtracja URL, klasteryzacja oraz zarządzanie centralne.
Do demonstracji użyjemy izolowanej platformy testowej, z konfiguracją identyczną do rzeczywistej, z wyjątkiem nazw urządzeń, nazwy domeny AD oraz adresów IP. W rzeczywistości jest to bardziej złożone — może być wiele oddziałów. Na granicach centralnych lokalizacji w takim przypadku zamiast jednej zapory sieciowej zainstalowany będzie klaster, może także wymagana być dynamiczna routingu.
Na platformie testowej wykorzystano PAN-OS 7.1.9. Jako typową konfigurację rozważmy sieć z zaporą sieciową Palo Alto Networks na granicy. Zaporę sieciową wykorzystuje się do zapewnienia zdalnego dostępu SSL VPN do głównej siedziby. Jako baza danych użytkowników będzie używana domena Active Directory (rysunek 1).
Rysunek 1 – Strukturalny schemat sieci
Etapy konfiguracji:
- Wstępna konfiguracja urządzenia. Ustawienie nazwy, adresy IP zarządzanie, statyczne trasy, konta administratorów, profile zarządzania
- Instalacja licencji, konfiguracja i instalacja aktualizacji
- Konfiguracja stref bezpieczeństwa, interfejsów sieciowych, polityki ruchu, translacji adresów
- Konfiguracja profilu uwierzytelniania LDAP oraz funkcji identyfikacji użytkownika
- Konfiguracja SSL VPN
1. Wstępna konfiguracja
Głównym narzędziem konfiguracji zapory sieciowej Palo Alto Networks jest interfejs webowy, możliwe jest również zarządzanie przez CLI. Domyślnie interfejs zarządzania ma przypisany adres IP 192.168.1.1/24, login: admin, hasło: admin.
Adres można zmienić, łącząc się z interfejsem webowym z tej samej sieci, lub za pomocą komendy set deviceconfig system ip-address netmask. Wykonywana jest w trybie konfiguracji. Aby przełączyć się w tryb konfiguracji, użyj komendy configure. Wszystkie zmiany na zaporze sieciowej zachodzą dopiero po potwierdzeniu ustawień komendą commit, zarówno w trybie wiersza poleceń, jak i w interfejsie webowym.
Aby zmienić ustawienia w interfejsie webowym, używa się sekcji Device -> General Settings oraz Device -> Management Interface Settings. Nazwy, banery, strefa czasowa i inne ustawienia można konfigurować w sekcji General Settings (rys. 2).
Rysunek 2 – Ustawienia interfejsu zarządzania
W przypadku stosowania wirtualnej zapory w środowisku ESXi, w sekcji General Settings należy włączyć użycie adresu MAC przypisanego przez hypervisor lub skonfigurować na hypervisorze adresy MAC przypisane do interfejsów zapory albo zmienić ustawienia wirtualnych przełączników, aby zezwolić na zmiany adresów MAC. W przeciwnym razie, ruch nie będzie przechodził.
Interfejs zarządzania konfiguruje się osobno i nie pojawia się na liście interfejsów sieciowych. W sekcji Management Interface Settings podaje się domyślną bramę dla interfejsu zarządzania. Inne statyczne trasy konfiguruje się w sekcji wirtualnych routerów, o czym będzie mowa dalej.
Aby uzyskać dostęp do urządzenia przez inne interfejsy, należy utworzyć profil zarządzania Profil zarządzania w sekcji Sieć -> Profile sieciowe -> Zarządzanie interfejsem i przypisać go do odpowiedniego interfejsu.
Następnie należy skonfigurować DNS i NTP w sekcji Urządzenie -> Usługi aby otrzymywać aktualizacje i prawidłowo wyświetlać czas (rys. 3). Domyślnie cały ruch generowany przez zaporę sieciową używa adresu IP interfejsu zarządzania jako adresu źródłowego. Inny interfejs można przypisać do każdej konkretnej usługi w sekcji Konfiguracja trasy usług.
Rysunek 3 – Ustawienia usług DNS, NTP i systemowych tras
2. Instalacja licencji, konfiguracja i instalacja aktualizacji
Aby wszystkie funkcje zapory sieciowej działały poprawnie, należy zainstalować licencję. Można użyć licencji próbnej, którą można zamówić u partnerów Palo Alto Networks. Okres jej ważności wynosi 30 dni. Licencja jest aktywowana poprzez plik lub przy pomocy kodu Auth-Code. Licencje konfiguruje się w sekcji Urządzenie -> Licencje (rys. 4).
Po zainstalowaniu licencji należy skonfigurować instalację aktualizacji w sekcji Urządzenie -> Aktualizacje dynamiczne.
W sekcji Urządzenie -> Oprogramowanie można pobrać i zainstalować nowe wersje PAN-OS.
Rysunek 4 – Panel sterowania licencjami
3. Konfiguracja stref zabezpieczeń, interfejsów sieciowych, polityki ruchu, translacji adresów
Zapory sieciowe Palo Alto Networks stosują logikę stref przy konfigurowaniu zasad sieciowych. Interfejsy sieciowe przypisywane są do określonej strefy, a ta jest wykorzystywana w zasadach ruchu. Takie podejście pozwala w przyszłości na zmianę ustawień interfejsów bez konieczności zmiany zasad ruchu, a zamiast tego można ponownie przypisać odpowiednie interfejsy do odpowiednich stref. Domyślnie ruch wewnątrz strefy jest dozwolony, a ruch między strefami jest zabroniony, co jest realizowane przez preinstalowane zasady intrazone-default i interzone-default.
Rysunek 5 – Strefy zabezpieczeń
W tym przykładzie interfejs w sieci wewnętrznej jest przypisany do strefy wewnętrznej, a interfejs kierujący do Internetu jest przypisany do strefy zewnętrznej.Dla SSL VPN utworzono interfejs tunelowy przypisany do strefy vpn (rys. 5).
Interfejsy sieciowe zapory sieciowej Palo Alto Networks mogą działać w pięciu różnych trybach:
- Tap – używany do zbierania ruchu w celu monitorowania i analizy
- HA – używany do pracy klastra
- Wirtualny przewód – w tym trybie Palo Alto Networks łączy dwa interfejsy i przezroczysto przepuszcza ruch między nimi, nie zmieniając adresów MAC i IP
- Layer2 – tryb switcha
- Layer3 – tryb routera
Rysunek 6 – Ustawienia trybu pracy interfejsu
W tym przykładzie użyty zostanie tryb Layer3 (rys. 6). W parametrach interfejsu sieciowego należy określić adres IP, tryb pracy oraz odpowiednią strefę bezpieczeństwa. Oprócz trybu pracy interfejsu, musisz przypisać go do wirtualnego routera Virtual Router, co jest odpowiednikiem instancji VRF w Palo Alto Networks. Wirtualne routery są od siebie izolowane i mają swoje własne tablice routingu oraz ustawienia protokołów sieciowych.
W ustawieniach wirtualnego routera wskazuje się statyczne trasy i ustawienia protokołów routingu. W tym przykładzie utworzono tylko trasę domyślną do dostępu do sieci zewnętrznych (rys. 7).
Rysunek 7 – Ustawienia wirtualnego routera
Następny etap konfiguracji – polityki ruchu, sekcja Policies -> Security. Przykład konfiguracji przedstawiony jest na rysunku 8. Logika działania reguł jest taka sama, jak w przypadku wszystkich zapór sieciowych. Reguły są sprawdzane od góry do dołu, aż do pierwszego dopasowania. Krótkie opisy reguł:
1. SSL VPN Access to Web Portal. Zezwala na dostęp do portalu internetowego w celu uwierzytelnienia zdalnych połączeń.
2. VPN traffic – zezwolenie na ruch między zdalnymi połączeniami a biurem głównym.
3. Basic Internet – zezwolenie na aplikacje dns, ping, traceroute, ntp. Zapora sieciowa zezwala na aplikacje na podstawie sygnatur, dekodowania i heurystyki, a nie numerów portów i protokołów, dlatego w sekcji Service wskazano application-default. Port/protokół domyślny dla tej aplikacji.
4. Web Access – zezwolenie na dostęp do internetu w protokołach HTTP i HTTPS bez kontroli aplikacji.
5,6. Reguły domyślne dla pozostałego ruchu.
Rysunek 8 — Przykład ustawień reguł sieciowych
Do konfiguracji NAT używa się sekcji Policies -> NAT. Przykład ustawień NAT przedstawiony jest na rysunku 9.
Rysunek 9 – Przykład ustawień NAT
Dla każdego ruchu z internal do external można zmienić adres źródłowy na zewnętrzny adres IP zapory i wykorzystać dynamiczny adres portu (PAT).
4. Ustawienia profilu uwierzytelnienia LDAP i funkcji rozpoznawania użytkowników
Przed podłączeniem użytkowników przez SSL-VPN należy skonfigurować mechanizm uwierzytelniania. W tym przykładzie uwierzytelnianie będzie się odbywać na kontrolerze domeny Active Directory przez interfejs webowy Palo Alto Networks.
Rysunek 10 – profil LDAP
Aby uwierzytelnianie działało, należy skonfigurować Profil LDAP i Profil uwierzytelniania. W sekcji Urządzenie -> Profile serwera -> LDAP (rys. 10) należy podać adres IP i port kontrolera domeny, typ LDAP oraz konto użytkownika należącego do grup Operatorów serwera, Czytelników dziennika zdarzeń, Użytkowników DCOM. Następnie w sekcji Urządzenie -> Profil uwierzytelniania tworzymy profil uwierzytelniania (rys. 11), zaznaczamy wcześniej utworzony Profil LDAP a na zakładce Zaawansowane podajemy grupę użytkowników (rys. 12), którym pozwolono na zdalny dostęp. Ważne jest, aby w profilu zaznaczyć parametr Domena użytkownika, w przeciwnym razie autoryzacja na podstawie grup nie będzie działać. W polu musi być podana nazwa NetBIOS domeny.
Rysunek 11 – Profil uwierzytelniania
Rysunek 12 – Wybór grupy AD
Następny etap to konfiguracja Urządzenie -> Identyfikacja użytkowników. Tutaj należy podać adres IP kontrolera domeny, dane logowania do połączenia, a także skonfigurować parametry Włącz dziennik bezpieczeństwa, Włącz sesję, Włącz sondowanie (rys. 13). W sekcji Mapowanie grup (rys. 14) należy zaznaczyć parametry identyfikacji obiektów w LDAP i listę grup, które będą używane do autoryzacji. Również jak w Profilu uwierzytelniania, tutaj należy ustawić parametr Domena użytkownika.
Rysunek 13 – Parametry mapowania użytkowników
Rysunek 14 – Parametry mapowania grup
Ostatnim krokiem na tym etapie będzie utworzenie strefy VPN i interfejsu dla tej strefy. Na interfejsie należy włączyć parametr Włącz identyfikację użytkowników (rys. 15).
Rysunek 15 – Konfiguracja strefy VPN
5. Konfiguracja SSL VPN
Przed połączeniem z SSL VPN, użytkownik zdalny musi zalogować się na portalu internetowym, przejść autoryzację i pobrać klienta Global Protect. Następnie, klient ten poprosi o dane logowania i połączy się z siecią firmową. Portal internetowy działa w trybie https, w związku z czym należy zainstalować dla niego certyfikat. Użyj certyfikatu publicznego, jeśli to możliwe. Wtedy użytkownik nie otrzyma ostrzeżenia o nieważności certyfikatu na stronie. Jeśli nie ma możliwości używania certyfikatu publicznego, należy wydać własny, który będzie stosowany na stronie internetowej dla https. Może to być certyfikat samopodpisany lub wydany przez lokalny urząd certyfikacji. Zdalny komputer musi mieć certyfikat główny lub samopodpisany na liście zaufanych głównych centrów certyfikacji, aby użytkownik nie otrzymał błędu podczas łączenia się z portalem internetowym. W tym przykładzie będzie użyty certyfikat wydany przez centrum certyfikacji Active Directory Certificate Services.
Aby wydać certyfikat, należy utworzyć żądanie certyfikatu w sekcji Urządzenie -> Zarządzanie certyfikatami -> Certyfikaty -> Generuj. W żądaniu podajemy nazwę certyfikatu oraz adres IP lub FQDN portalu internetowego (rys. 16). Po wygenerowaniu żądania pobieramy .csr plik i kopiujemy jego zawartość do pola żądania certyfikatu w formularzu internetowym AD CS Web Enrollment. W zależności od ustawień urzędu certyfikacji, żądanie certyfikatu musi być zatwierdzone, a następnie pobieramy wydany certyfikat w formacie Certyfikat zakodowany w Base64. Dodatkowo należy pobrać certyfikat główny urzędu certyfikacji. Następnie należy zaimportować oba certyfikaty na zaporę. Przy imporcie certyfikatu dla portalu internetowego należy wybrać żądanie w statusie pending i kliknąć import. Nazwa certyfikatu musi zgadzać się z nazwą podaną wcześniej w żądaniu. Nazwę certyfikatu głównego można podać dowolnie. Po imporcie certyfikatu należy utworzyć Profil usługi SSL/TLS w sekcji Urządzenie -> Zarządzanie certyfikatami. W profilu wskazujemy wcześniej zaimportowany certyfikat.
Rysunek 16 – Żądanie certyfikatu
Następny krok to skonfigurowanie obiektów Global Protect Gateway i Global Protect Portal w sekcji Sieć -> Global Protect. W ustawieniach Global Protect Gateway podajemy zewnętrzny adres IP zapory, a także wcześniej utworzone Profil SSL, Profil uwierzytelniania, interfejs tunelowy i ustawienia IP klienta. Należy określić pulę adresów IP, z której przydzielony zostanie adres klientowi, oraz Access Route, czyli podsieci, do których klient będzie miał dostęp. Jeśli celem jest przekierowanie całego ruchu użytkownika przez zaporę ogniową, należy wskazać podsieć 0.0.0.0/0 (rys. 17).
Rysunek 17 – Konfiguracja puli adresów IP i tras
Następnie należy skonfigurować Global Protect Portal. Wskazujemy adres IP zapory ogniowej, Profil SSL i Profil uwierzytelniania oraz listę zewnętrznych adresów IP zapór ogniowych, do których będzie się łączył klient. Jeśli jest więcej zapór ogniowych, można ustawić dla każdej priorytet, według którego użytkownicy będą wybierać zaporę do połączenia.
W sekcji Urządzenie -> GlobalProtect Client konieczne jest pobranie dystrybucji klienta VPN z serwerów Palo Alto Networks i aktywowanie go. Aby się połączyć, użytkownik musi wejść na stronę internetową portalu, gdzie zostanie mu zaproponowane pobranie GlobalProtect Client. Po pobraniu i zainstalowaniu można wprowadzić swoje dane logowania i połączyć się z siecią korporacyjną za pomocą SSL VPN.
Podsumowanie
Na tym etapie konfiguracja Palo Alto Networks jest zakończona. Mamy nadzieję, że informacje były pomocne, a czytelnik zyskał wiedzę na temat technologii używanych w Palo Alto Networks. Jeśli masz pytania dotyczące konfiguracji lub sugestie dotyczące tematów przyszłych artykułów - pisz w komentarzach, z chęcią odpowiemy.
Źródło: habr.com
