Camada3<\/b> \u2013 modo de roteador<\/li>\n<\/ul>\n \nFigura 6 \u2013 Configura\u00e7\u00e3o do modo de opera\u00e7\u00e3o da interface<\/i><\/p>\n
Neste exemplo, ser\u00e1 utilizado o modo Layer3 (fig. 6). Nas configura\u00e7\u00f5es da interface de rede, s\u00e3o especificados o endere\u00e7o IP, o modo de opera\u00e7\u00e3o e a zona de seguran\u00e7a correspondente. Al\u00e9m do modo de opera\u00e7\u00e3o da interface, \u00e9 necess\u00e1rio design\u00e1-la ao roteador virtual Virtual Router, que \u00e9 an\u00e1logo a uma inst\u00e2ncia VRF na Palo Alto Networks. Os roteadores virtuais s\u00e3o isolados uns dos outros e t\u00eam suas pr\u00f3prias tabelas de roteamento e configura\u00e7\u00f5es de protocolos de rede.<\/p>\n
Nas configura\u00e7\u00f5es do roteador virtual, s\u00e3o especificadas rotas est\u00e1ticas e configura\u00e7\u00f5es de protocolos de roteamento. Neste exemplo, foi criada apenas a rota padr\u00e3o para acesso a redes externas (fig. 7).<\/p>\n
Figura 7 \u2013 Configura\u00e7\u00e3o do roteador virtual<\/i><\/p>\n
A pr\u00f3xima etapa da configura\u00e7\u00e3o \u2013 pol\u00edticas de tr\u00e1fego, se\u00e7\u00e3o Pol\u00edticas -> Seguran\u00e7a<\/b>. O exemplo de configura\u00e7\u00e3o \u00e9 mostrado na figura 8. A l\u00f3gica de funcionamento das regras \u00e9 a mesma que a de todos os firewalls. As regras s\u00e3o verificadas de cima para baixo, at\u00e9 a primeira correspond\u00eancia. Uma breve descri\u00e7\u00e3o das regras:<\/p>\n
1. Acesso SSL VPN ao Portal Web. Permite acesso ao portal web para autentica\u00e7\u00e3o de conex\u00f5es remotas
Figura 8 \u2014 Exemplo de configura\u00e7\u00e3o de regras de rede<\/i><\/p>\n
Para a configura\u00e7\u00e3o do NAT, utiliza-se a se\u00e7\u00e3o Pol\u00edticas -> NAT<\/b>. O exemplo de configura\u00e7\u00e3o do NAT \u00e9 mostrado na figura 9.<\/p>\n
Figura 9 \u2013 Exemplo de configura\u00e7\u00e3o de NAT<\/i><\/p>\n
Para qualquer tr\u00e1fego da rede interna para a externa, pode-se alterar o endere\u00e7o de origem para o endere\u00e7o IP externo do firewall e usar um endere\u00e7o din\u00e2mico de porta (PAT).<\/p>\n
4. Configura\u00e7\u00e3o do perfil de autentica\u00e7\u00e3o LDAP e da fun\u00e7\u00e3o de Identifica\u00e7\u00e3o de Usu\u00e1rio<\/b>
Figura 10 \u2013 Perfil LDAP<\/i><\/p>\n
Para que a autentica\u00e7\u00e3o funcione, \u00e9 preciso configurar Perfil LDAP<\/b> e Perfil de Autentica\u00e7\u00e3o<\/b>. Na se\u00e7\u00e3o Dispositivo -> Perfis de Servidor -> LDAP<\/b> (fig. 10), deve ser fornecido o endere\u00e7o IP e a porta do controlador de dom\u00ednio, o tipo LDAP e a conta do usu\u00e1rio que pertence aos grupos Operadores de Servidor<\/b>, Leitores de Registro de Evento<\/b>, Usu\u00e1rios DCOM Distribu\u00eddos<\/b>. Em seguida, na se\u00e7\u00e3o Dispositivo -> Perfil de Autentica\u00e7\u00e3o<\/b> criamos um perfil de autentica\u00e7\u00e3o (fig. 11), selecionamos o Perfil LDAP<\/b> criado anteriormente e, na aba Avan\u00e7ado, indicamos o grupo de usu\u00e1rios (fig. 12) que t\u00eam acesso remoto permitido. \u00c9 importante observar no perfil o par\u00e2metro Dom\u00ednio do Usu\u00e1rio<\/b>, caso contr\u00e1rio, a autoriza\u00e7\u00e3o com base em grupos n\u00e3o funcionar\u00e1. O campo deve conter o nome do dom\u00ednio NetBIOS.<\/p>\n
Figura 11 \u2013 Perfil de Autentica\u00e7\u00e3o<\/i><\/p>\n
Figura 12 \u2013 Sele\u00e7\u00e3o de Grupo AD<\/i><\/p>\n
A pr\u00f3xima etapa \u00e9 configurar Dispositivo -> Identifica\u00e7\u00e3o de Usu\u00e1rio<\/b>. Aqui, \u00e9 necess\u00e1rio especificar o endere\u00e7o IP do controlador de dom\u00ednio, as credenciais para conex\u00e3o, bem como configurar os par\u00e2metros Ativar Registro de Seguran\u00e7a<\/b>, Ativar Sess\u00e3o<\/b>, Ativar Probing<\/b> (fig. 13). Na se\u00e7\u00e3o Mapeamento de Grupos<\/b> (fig. 14), deve-se assinalar os par\u00e2metros de identifica\u00e7\u00e3o de objetos no LDAP e a lista de grupos que ser\u00e3o usados para autoriza\u00e7\u00e3o. Assim como no Perfil de Autentica\u00e7\u00e3o, aqui tamb\u00e9m \u00e9 necess\u00e1rio definir o par\u00e2metro Dom\u00ednio do Usu\u00e1rio.<\/p>\n
Figura 13 \u2013 Par\u00e2metros de Mapeamento de Usu\u00e1rio<\/i><\/p>\n
Figura 14 \u2013 Par\u00e2metros de Mapeamento de Grupo<\/i><\/p>\n
O \u00faltimo passo nesta etapa ser\u00e1 a cria\u00e7\u00e3o da zona VPN e da interface para essa zona. Na interface, deve-se habilitar o par\u00e2metro Ativar Identifica\u00e7\u00e3o de Usu\u00e1rio<\/b> (fig. 15).<\/p>\n
Figura 15 \u2013 Configura\u00e7\u00e3o da Zona VPN<\/i><\/p>\n5. Configura\u00e7\u00e3o do SSL VPN<\/h4>\n
\nAntes de conectar o SSL VPN, o usu\u00e1rio remoto deve acessar o portal da web, passar pela autentica\u00e7\u00e3o e baixar o cliente Global Protect. Em seguida, este cliente solicitar\u00e1 as credenciais e conectar\u00e1 \u00e0 rede corporativa. O portal da web opera no modo https e, portanto, \u00e9 necess\u00e1rio instalar um certificado para ele. Use um certificado p\u00fablico, se poss\u00edvel. Assim, o usu\u00e1rio n\u00e3o receber\u00e1 um aviso sobre a invalidez do certificado no site. Se n\u00e3o houver como usar um certificado p\u00fablico, ser\u00e1 necess\u00e1rio emitir um pr\u00f3prio, que ser\u00e1 aplicado na p\u00e1gina da web para https. Ele pode ser autoassinado ou emitido por meio de uma autoridade certificadora local. O computador remoto deve ter o certificado raiz ou autoassinado na lista de autoridades certificadoras confi\u00e1veis, para que o usu\u00e1rio n\u00e3o receba um erro ao se conectar ao portal da web. Neste exemplo, ser\u00e1 utilizado o certificado emitido pela Active Directory Certificate Services.<\/p>\n
Para emitir um certificado, \u00e9 necess\u00e1rio criar uma solicita\u00e7\u00e3o de certificado na se\u00e7\u00e3o Device -> Certificate Management -> Certificates -> Generate<\/b>. Na solicita\u00e7\u00e3o, indicamos o nome do certificado e o endere\u00e7o IP ou o FQDN do portal da web (fig. 16). Ap\u00f3s a gera\u00e7\u00e3o da solicita\u00e7\u00e3o, baixamos .csr<\/b> arquivo e copiamos seu conte\u00fado no campo de solicita\u00e7\u00e3o de certificado no formul\u00e1rio da Web AD CS Web Enrollment. Dependendo da configura\u00e7\u00e3o da autoridade certificadora, a solicita\u00e7\u00e3o de certificado deve ser aprovada e o certificado emitido deve ser baixado no formato Certificado Codificado em Base64<\/b>. Al\u00e9m disso, \u00e9 necess\u00e1rio baixar o certificado raiz da autoridade certificadora. Em seguida, ambos os certificados devem ser importados para o firewall. Ao importar o certificado para o portal da web, deve-se selecionar a solicita\u00e7\u00e3o no status pending e clicar em import. O nome do certificado deve corresponder ao nome indicado anteriormente na solicita\u00e7\u00e3o. O nome do certificado raiz pode ser definido livremente. Ap\u00f3s a importa\u00e7\u00e3o do certificado, \u00e9 necess\u00e1rio criar um Perfil de Servi\u00e7o SSL\/TLS<\/b> na se\u00e7\u00e3o Device -> Certificate Management<\/b>. No perfil, indicamos o certificado importado anteriormente. <\/p>\n
Figura 16 \u2013 Solicita\u00e7\u00e3o de Certificado<\/i><\/p>\n
O pr\u00f3ximo passo \u00e9 configurar os objetos Gl\u043ebal Protect Gateway<\/b> e Global Protect Portal<\/b> na se\u00e7\u00e3o Network -> Global Protect<\/b>. Nas configura\u00e7\u00f5es, Gl\u043ebal Protect Gateway<\/b> indicamos o endere\u00e7o IP externo do firewall, bem como os Perfis SSL anteriormente criados<\/b>, Perfil de Autentica\u00e7\u00e3o<\/b>, interface de t\u00fanel e configura\u00e7\u00f5es de IP do cliente. \u00c9 necess\u00e1rio definir um pool de endere\u00e7os IP, do qual ser\u00e1 atribu\u00eddo um endere\u00e7o ao cliente, e a Rota de Acesso \u2013 que s\u00e3o as sub-redes \u00e0s quais o cliente ter\u00e1 acesso. Se a tarefa for redirecionar todo o tr\u00e1fego do usu\u00e1rio atrav\u00e9s do firewall, a sub-rede 0.0.0.0\/0 deve ser especificada (fig. 17).<\/p>\n
Figura 17 \u2013 Configura\u00e7\u00e3o do pool de endere\u00e7os IP e rotas<\/i><\/p>\n
Em seguida, \u00e9 necess\u00e1rio configurar Global Protect Portal<\/b>. Especificamos o endere\u00e7o IP do firewall, Perfis SSL anteriormente criados<\/b> e Perfil de Autentica\u00e7\u00e3o<\/b> e uma lista de endere\u00e7os IP externos dos firewalls aos quais o cliente se conectar\u00e1. Se houver v\u00e1rios firewalls, pode-se definir a prioridade de cada um, conforme a qual os usu\u00e1rios escolher\u00e3o o firewall para conex\u00e3o.<\/p>\n
Na se\u00e7\u00e3o Dispositivo -> Cliente GlobalProtect<\/b> \u00e9 preciso baixar o instalador do cliente VPN dos servidores da Palo Alto Networks e ativ\u00e1-lo. Para conex\u00e3o, o usu\u00e1rio deve acessar a p\u00e1gina da web do portal, onde ser\u00e1 solicitado que baixe o Cliente GlobalProtect<\/b>. Ap\u00f3s o download e instala\u00e7\u00e3o, ser\u00e1 poss\u00edvel inserir suas credenciais e se conectar \u00e0 rede corporativa via SSL VPN.<\/p>\nConclus\u00e3o<\/h4>\n
\nCom isso, a parte da configura\u00e7\u00e3o da Palo Alto Networks est\u00e1 conclu\u00edda. Esperamos que as informa\u00e7\u00f5es tenham sido \u00fateis e que o leitor tenha uma no\u00e7\u00e3o das tecnologias utilizadas na Palo Alto Networks. Se voc\u00ea tiver alguma d\u00favida sobre configura\u00e7\u00e3o ou sugest\u00f5es para artigos futuros, escreva nos coment\u00e1rios, ficaremos felizes em responder.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0432\u0441\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u0435\u0436\u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u044d\u043a\u0440\u0430\u043d\u043e\u0432 Palo Alto Networks, \u0432 \u0440\u0443\u043d\u0435\u0442\u0435 \u043d\u0435 \u0442\u0430\u043a \u043c\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u043e\u043f\u044b\u0442 \u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f. \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0438\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b, \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u043d\u044b\u0435 \u0443 \u043d\u0430\u0441 \u0437\u0430 \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u044d\u0442\u043e\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440\u0430 \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e\u0431 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u0445, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0432 \u0445\u043e\u0434\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432. \u0414\u043b\u044f \u0437\u043d\u0430\u043a\u043e\u043c\u0441\u0442\u0432\u0430 \u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23965,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-32126","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Particularidades](\"\/wp-content\/uploads\/2019\/04\/f1b7724dcec58c57688ca5020ebdbd96.jpeg\")