Particularidades da configuração do Palo Alto Networks: SSL VPN

Apesar de todas as vantagens das firewalls da Palo Alto Networks, ainda há poucos materiais na internet em russo sobre a configuração desses dispositivos, assim como textos que descrevam a experiência de sua implementação. Decidimos compilar os materiais que acumulamos ao longo do tempo trabalhando com o equipamento desse fornecedor e falar sobre as particularidades que encontramos durante a execução de diversos projetos.

Para uma introdução à Palo Alto Networks, este artigo abordará as configurações necessárias para resolver uma das tarefas mais comuns de firewall: SSL VPN para acesso remoto. Também discutiremos funções auxiliares para configuração geral do firewall, identificação de usuários, aplicativos e políticas de segurança. Se o tema interessar os leitores, posteriormente publicaremos materiais analisando Site-to-Site, VPN, roteamento dinâmico e gerenciamento centralizado com o Panorama.

As firewalls da Palo Alto Networks utilizam uma série de tecnologias inovadoras, incluindo App-ID, User-ID e Content-ID. A aplicação dessas funcionalidades permite garantir um alto nível de segurança. Por exemplo, com o App-ID, é possível identificar o tráfego de aplicativos com base em assinaturas, decodificação e heurística, independentemente da porta e do protocolo utilizados, inclusive dentro de um túnel SSL. O User-ID permite identificar os usuários da rede através da integração com o LDAP. O Content-ID oferece a capacidade de escanear o tráfego e identificar os arquivos transmitidos e seu conteúdo. Dentre outras funções das firewalls, destacam-se a proteção contra intrusões, proteção contra vulnerabilidades e ataques DoS, um anti-spyware embutido, filtragem de URL, clustering e gerenciamento centralizado.

Para a demonstração, utilizaremos um ambiente isolado, com configuração idêntica à real, exceto pelos nomes dos dispositivos, nome do domínio AD e endereços IP. Na realidade, tudo é mais complicado — pode haver muitas filiais. Nas fronteiras das instalações centrais, nesse caso, em vez de uma única firewall, será instalado um cluster, e pode ser necessário um roteamento dinâmico.

No ambiente, é utilizada PAN-OS 7.1.9. Como configuração típica, consideramos uma rede com um firewall Palo Alto Networks na borda. O firewall fornece acesso remoto SSL VPN à sede. O domínio Active Directory será usado como banco de dados de usuários (figura 1).

Figura 1 – Diagrama estrutural da rede

Etapas de configuração:

1. Pré-configuração do dispositivo. Definição do nome, endereços IP gerenciamento, rotas estáticas, contas de administrador, perfis de gerenciamento
2. Instalação de licenças, configuração e instalação de atualizações
3. Configuração de zonas de segurança, interfaces de rede, políticas de tráfego, tradução de endereços
4. Configuração do perfil de autenticação LDAP e função de Identificação de Usuários
5. Configuração do SSL VPN

1. Pré-configuração

A principal ferramenta de configuração do firewall Palo Alto Networks é a interface web, podendo também ser gerenciada via CLI. O endereço IP do interface de gerenciamento é definido como 192.168.1.1/24 por padrão, login: admin, senha: admin.

O endereço pode ser alterado conectando-se à interface web da mesma rede ou usando o comando set deviceconfig system ip-address netmask. Isso é feito no modo de configuração. Para alternar para o modo de configuração, usa-se o comando configure. Todas as mudanças no firewall ocorrem somente após a confirmação das configurações pelo comando commit, tanto no modo de linha de comando quanto na interface web.

Para alterar configurações na interface web, utiliza-se a seção Device -> General Settings e Device -> Management Interface Settings. O nome, banners, fuso horário e outras configurações podem ser definidos na seção General Settings (fig. 2).

Figura 2 – Opções da interface de gerenciamento

Caso seja aplicado um firewall virtual no ambiente ESXi, na seção General Settings deve-se habilitar o uso do endereço MAC atribuído pelo hypervisor, ou ajustar no hypervisor os endereços MAC definidos nas interfaces do firewall, ou alterar as configurações dos switches virtuais para permitir alterações nos endereços MAC. Caso contrário, o tráfego não passará.

A interface de gerenciamento é configurada separadamente e não é exibida na lista de interfaces de rede. Na seção Management Interface Settings é indicado o gateway padrão para a interface de gerenciamento. Outras rotas estáticas são configuradas na seção de roteadores virtuais, sobre isso será escrito a seguir.

Para permitir o acesso ao dispositivo através de outras interfaces, é necessário criar um perfil de gestão Perfil de Gerenciamento na seção Rede -> Perfis de Rede -> Gestão de Interface e atribuí-lo à interface correspondente.

Em seguida, é necessário configurar o DNS e o NTP na seção Dispositivo -> Serviços para obter atualizações e exibir a hora corretamente (fig. 3). Por padrão, todo o tráfego gerado pelo firewall utiliza como endereço IP de origem o endereço IP da interface de gestão. Um interface diferente pode ser atribuída a cada serviço específico na seção Configuração de Rota de Serviço.

Figura 3 – Parâmetros dos serviços DNS, NTP e rotas do sistema

2. Instalação de licenças, configuração e instalação de atualizações

Para o funcionamento adequado de todas as funções do firewall, é necessário instalar uma licença. Uma licença de teste pode ser utilizada, solicitando-a aos parceiros da Palo Alto Networks. Sua validade é de 30 dias. A licença pode ser ativada via arquivo ou por meio de Auth-Code. As licenças são configuradas na seção Dispositivo -> Licenças (fig. 4).
Após a instalação da licença, é necessário configurar a instalação de atualizações na seção Dispositivo -> Atualizações Dinâmicas.
Na seção Dispositivo -> Software é possível baixar e instalar novas versões do PAN-OS.

Figura 4 – Painel de Controle de Licenças

3. Configuração de zonas de segurança, interfaces de rede, políticas de tráfego, tradução de endereços

Os firewalls da Palo Alto Networks utilizam a lógica de zonas ao configurar regras de rede. As interfaces de rede são atribuídas a uma zona específica, que é utilizada nas regras de tráfego. Esta abordagem permite que, no futuro, ao alterar as configurações das interfaces, as regras de tráfego não precisem ser alteradas, mas sim que as interfaces necessárias sejam realocadas nas zonas correspondentes. Por padrão, o tráfego dentro da zona é permitido, e o tráfego entre zonas é proibido, controlado pelas regras predefinidas intrazone-default e interzone-default.

Figura 5 – Zonas de Segurança

Neste exemplo, a interface na rede interna é atribuída à zona internal, enquanto a interface direcionada para a Internet é atribuída à zona external. Para SSL VPN, foi criado uma interface de túnel, atribuída à zona vpn (fig. 5).

As interfaces de rede do firewall da Palo Alto Networks podem operar em cinco modos diferentes:

• Tap – usado para coletar tráfego com o objetivo de monitoramento e análise
• HA – usado para funcionamento de cluster
• Wire Virtual – neste modo, a Palo Alto Networks combina duas interfaces e permite transparentemente o tráfego entre elas, sem alterar os endereços MAC e IP
• Camada2 – modo de comutador
• Camada3 – modo de roteador

Figura 6 – Configuração do modo de operação da interface

Neste exemplo, será utilizado o modo Layer3 (fig. 6). Nas configurações da interface de rede, são especificados o endereço IP, o modo de operação e a zona de segurança correspondente. Além do modo de operação da interface, é necessário designá-la ao roteador virtual Virtual Router, que é análogo a uma instância VRF na Palo Alto Networks. Os roteadores virtuais são isolados uns dos outros e têm suas próprias tabelas de roteamento e configurações de protocolos de rede.

Nas configurações do roteador virtual, são especificadas rotas estáticas e configurações de protocolos de roteamento. Neste exemplo, foi criada apenas a rota padrão para acesso a redes externas (fig. 7).

Figura 7 – Configuração do roteador virtual

A próxima etapa da configuração – políticas de tráfego, seção Políticas -> Segurança. O exemplo de configuração é mostrado na figura 8. A lógica de funcionamento das regras é a mesma que a de todos os firewalls. As regras são verificadas de cima para baixo, até a primeira correspondência. Uma breve descrição das regras:

1. Acesso SSL VPN ao Portal Web. Permite acesso ao portal web para autenticação de conexões remotas
2. Tráfego VPN – permitindo o tráfego entre conexões remotas e a sede
3. Internet Básica – permite aplicações dns, ping, traceroute, ntp. O firewall permite aplicações com base em assinaturas, decodificação e heurística, e não em números de portas e protocolos, portanto, na seção Serviço, está indicado application-default. Porta/protocolo padrão para esta aplicação
4. Acesso Web – permite acesso à internet via protocolos HTTP e HTTPS sem controle de aplicações
5,6. Regras padrão para o restante do tráfego.

Figura 8 — Exemplo de configuração de regras de rede

Para a configuração do NAT, utiliza-se a seção Políticas -> NAT. O exemplo de configuração do NAT é mostrado na figura 9.

Figura 9 – Exemplo de configuração de NAT

Para qualquer tráfego da rede interna para a externa, pode-se alterar o endereço de origem para o endereço IP externo do firewall e usar um endereço dinâmico de porta (PAT).

4. Configuração do perfil de autenticação LDAP e da função de Identificação de Usuário
Antes de conectar usuários através do SSL-VPN, é necessário configurar o mecanismo de autenticação. Neste exemplo, a autenticação ocorrerá no controlador de domínio Active Directory através da interface web da Palo Alto Networks.

Figura 10 – Perfil LDAP

Para que a autenticação funcione, é preciso configurar Perfil LDAP e Perfil de Autenticação. Na seção Dispositivo -> Perfis de Servidor -> LDAP (fig. 10), deve ser fornecido o endereço IP e a porta do controlador de domínio, o tipo LDAP e a conta do usuário que pertence aos grupos Operadores de Servidor, Leitores de Registro de Evento, Usuários DCOM Distribuídos. Em seguida, na seção Dispositivo -> Perfil de Autenticação criamos um perfil de autenticação (fig. 11), selecionamos o Perfil LDAP criado anteriormente e, na aba Avançado, indicamos o grupo de usuários (fig. 12) que têm acesso remoto permitido. É importante observar no perfil o parâmetro Domínio do Usuário, caso contrário, a autorização com base em grupos não funcionará. O campo deve conter o nome do domínio NetBIOS.

Figura 11 – Perfil de Autenticação

Figura 12 – Seleção de Grupo AD

A próxima etapa é configurar Dispositivo -> Identificação de Usuário. Aqui, é necessário especificar o endereço IP do controlador de domínio, as credenciais para conexão, bem como configurar os parâmetros Ativar Registro de Segurança, Ativar Sessão, Ativar Probing (fig. 13). Na seção Mapeamento de Grupos (fig. 14), deve-se assinalar os parâmetros de identificação de objetos no LDAP e a lista de grupos que serão usados para autorização. Assim como no Perfil de Autenticação, aqui também é necessário definir o parâmetro Domínio do Usuário.

Figura 13 – Parâmetros de Mapeamento de Usuário

Figura 14 – Parâmetros de Mapeamento de Grupo

O último passo nesta etapa será a criação da zona VPN e da interface para essa zona. Na interface, deve-se habilitar o parâmetro Ativar Identificação de Usuário (fig. 15).

Figura 15 – Configuração da Zona VPN

5. Configuração do SSL VPN

Antes de conectar o SSL VPN, o usuário remoto deve acessar o portal da web, passar pela autenticação e baixar o cliente Global Protect. Em seguida, este cliente solicitará as credenciais e conectará à rede corporativa. O portal da web opera no modo https e, portanto, é necessário instalar um certificado para ele. Use um certificado público, se possível. Assim, o usuário não receberá um aviso sobre a invalidez do certificado no site. Se não houver como usar um certificado público, será necessário emitir um próprio, que será aplicado na página da web para https. Ele pode ser autoassinado ou emitido por meio de uma autoridade certificadora local. O computador remoto deve ter o certificado raiz ou autoassinado na lista de autoridades certificadoras confiáveis, para que o usuário não receba um erro ao se conectar ao portal da web. Neste exemplo, será utilizado o certificado emitido pela Active Directory Certificate Services.

Para emitir um certificado, é necessário criar uma solicitação de certificado na seção Device -> Certificate Management -> Certificates -> Generate. Na solicitação, indicamos o nome do certificado e o endereço IP ou o FQDN do portal da web (fig. 16). Após a geração da solicitação, baixamos .csr arquivo e copiamos seu conteúdo no campo de solicitação de certificado no formulário da Web AD CS Web Enrollment. Dependendo da configuração da autoridade certificadora, a solicitação de certificado deve ser aprovada e o certificado emitido deve ser baixado no formato Certificado Codificado em Base64. Além disso, é necessário baixar o certificado raiz da autoridade certificadora. Em seguida, ambos os certificados devem ser importados para o firewall. Ao importar o certificado para o portal da web, deve-se selecionar a solicitação no status pending e clicar em import. O nome do certificado deve corresponder ao nome indicado anteriormente na solicitação. O nome do certificado raiz pode ser definido livremente. Após a importação do certificado, é necessário criar um Perfil de Serviço SSL/TLS na seção Device -> Certificate Management. No perfil, indicamos o certificado importado anteriormente.

Figura 16 – Solicitação de Certificado

O próximo passo é configurar os objetos Glоbal Protect Gateway e Global Protect Portal na seção Network -> Global Protect. Nas configurações, Glоbal Protect Gateway indicamos o endereço IP externo do firewall, bem como os Perfis SSL anteriormente criados, Perfil de Autenticação, interface de túnel e configurações de IP do cliente. É necessário definir um pool de endereços IP, do qual será atribuído um endereço ao cliente, e a Rota de Acesso – que são as sub-redes às quais o cliente terá acesso. Se a tarefa for redirecionar todo o tráfego do usuário através do firewall, a sub-rede 0.0.0.0/0 deve ser especificada (fig. 17).

Figura 17 – Configuração do pool de endereços IP e rotas

Em seguida, é necessário configurar Global Protect Portal. Especificamos o endereço IP do firewall, Perfis SSL anteriormente criados e Perfil de Autenticação e uma lista de endereços IP externos dos firewalls aos quais o cliente se conectará. Se houver vários firewalls, pode-se definir a prioridade de cada um, conforme a qual os usuários escolherão o firewall para conexão.

Na seção Dispositivo -> Cliente GlobalProtect é preciso baixar o instalador do cliente VPN dos servidores da Palo Alto Networks e ativá-lo. Para conexão, o usuário deve acessar a página da web do portal, onde será solicitado que baixe o Cliente GlobalProtect. Após o download e instalação, será possível inserir suas credenciais e se conectar à rede corporativa via SSL VPN.

Conclusão

Com isso, a parte da configuração da Palo Alto Networks está concluída. Esperamos que as informações tenham sido úteis e que o leitor tenha uma noção das tecnologias utilizadas na Palo Alto Networks. Se você tiver alguma dúvida sobre configuração ou sugestões para artigos futuros, escreva nos comentários, ficaremos felizes em responder.

Fonte: habr.com