{"id":32126,"date":"2019-10-31T21:45:18","date_gmt":"2019-10-31T18:45:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn\/"},"modified":"2019-10-31T21:45:18","modified_gmt":"2019-10-31T18:45:18","slug":"osobennosti-nastrojki-palo-alto-networks-ssl-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn","title":{"rendered":"Caracteristici de configurare pentru Palo Alto Networks: SSL VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Caracteristici
\n
\n\u00cen ciuda tuturor avantajelor firewall-urilor Palo Alto Networks, nu exist\u0103 multe materiale \u00een limba rom\u00e2n\u0103 despre configurarea acestor dispozitive, precum \u0219i texte care s\u0103 descrie experien\u021ba implement\u0103rii lor. Am decis s\u0103 sintetiz\u0103m materialele acumulate de-a lungul timpului \u00een activitatea noastr\u0103 cu echipamentele acestui furnizor \u0219i s\u0103 discut\u0103m despre particularit\u0103\u021bile \u00eent\u00e2mpinate \u00een realizarea diferitelor proiecte. <\/p>\n

Pentru a ne familiariza cu Palo Alto Networks, acest articol va analiza set\u0103rile necesare pentru a aborda una dintre cele mai frecvente sarcini de firewall \u2014 SSL VPN pentru acces extern. De asemenea, vom discuta despre func\u021biile auxiliare pentru configura\u021bia general\u0103 a firewall-ului, identificarea utilizatorilor, aplica\u021biilor \u0219i politicilor de securitate. Dac\u0103 subiectul va st\u00e2rni interesul cititorilor, \u00een viitor vom publica materiale ce abordeaz\u0103 Site-to-Site VPN<\/a>, rutarea dinamic\u0103 \u0219i managementul centralizat prin intermediul Panorama.
\n<\/a><\/noindex>
\nFirewall-urile Palo Alto Networks utilizeaz\u0103 o serie de tehnologii inovatoare, inclusiv App-ID, User-ID, Content-ID. Implementarea acestei func\u021bionalit\u0103\u021bi permite asigurarea unui nivel ridicat de securitate. De exemplu, prin App-ID este posibil\u0103 identificarea traficului aplica\u021biilor pe baza semn\u0103turilor, decodific\u0103rii \u0219i heuristicii, indiferent de portul \u0219i protocolul utilizat, inclusiv \u00een interiorul tunelului SSL. User-ID permite identificarea utilizatorilor re\u021belei prin integrarea cu LDAP. Content-ID ofer\u0103 posibilitatea de a analiza traficul \u0219i de a identifica fi\u0219ierele transmise \u0219i con\u021binutul acestora. Printre alte func\u021bii ale firewall-urilor se num\u0103r\u0103 protec\u021bia \u00eempotriva atacurilor, protec\u021bia \u00eempotriva vulnerabilit\u0103\u021bilor \u0219i a atacurilor DoS, anti-spyware \u00eencorporat, filtrarea URL-urilor, clusterizarea \u0219i managementul centralizat.<\/p>\n

Pentru demonstra\u021bie, vom utiliza un stand izolat, cu o configura\u021bie identic\u0103 cu cea real\u0103, cu excep\u021bia numelui dispozitivelor, numelui domeniului AD \u0219i a adreselor IP. \u00cen realitate, lucrurile sunt mai complexe \u2014 pot exista multe filiale. La grani\u021bele loca\u021biilor centrale, \u00een acest caz, \u00een loc de un singur firewall va fi instalat un cluster, iar rutarea dinamic\u0103 poate fi necesar\u0103.<\/p>\n

Pe stand se folose\u0219te PAN-OS 7.1.9<\/b>. Ca o configura\u021bie standard, s\u0103 lu\u0103m \u00een considerare o re\u021bea cu un firewall Palo Alto Networks la margine. Firewall-ul ofer\u0103 acces remote SSL VPN c\u0103tre biroul central. Ca baz\u0103 de date pentru utilizatori se va folosi domeniul Active Directory (figura 1).<\/p>\n

\"Caracteristici
\nFigura 1 \u2013 Diagrama structural\u0103 a re\u021belei<\/i><\/p>\n

Etapele configur\u0103rii:<\/p>\n

    \n
  1. Preconfigurarea dispozitivului. Stabilirea numelui, adrese IP<\/a> managementului, rutelor statice, conturilor de administrator, profilurilor de management<\/li>\n
  2. Instalarea licen\u021belor, configurarea \u0219i instalarea actualiz\u0103rilor<\/li>\n
  3. Configurarea zonelor de securitate, interfe\u021belor de re\u021bea, politicii de trafic, traducerii adreselor<\/li>\n
  4. Configurarea profilului de autentificare LDAP \u0219i a func\u021biei de identificare a utilizatorului<\/li>\n
  5. Configurarea SSL VPN<\/li>\n<\/ol>\n

    <\/p>\n

    1. Preconfigurare<\/h4>\n

    \nPrincipalul instrument pentru configurarea firewall-ului Palo Alto Networks este interfa\u021ba web, de asemenea, se poate gestiona prin CLI. Implicit, interfa\u021ba de management are adresa IP 192.168.1.1\/24, login: admin, parola: admin. <\/p>\n

    Adresa poate fi schimbat\u0103 fie conect\u00e2ndu-se la interfa\u021ba web din aceea\u0219i re\u021bea, fie prin comanda set deviceconfig system ip-address netmask<\/b>. Aceasta se execut\u0103 \u00een modul de configurare. Pentru a comuta \u00een modul de configurare, se folose\u0219te comanda configure<\/b>. Toate modific\u0103rile pe firewall se efectueaz\u0103 doar dup\u0103 confirmarea set\u0103rilor prin comanda Configurarea stivei (iStack)<\/b>, at\u00e2t \u00een modul linie de comand\u0103, c\u00e2t \u0219i \u00een interfa\u021ba web.<\/p>\n

    Pentru a schimba set\u0103rile din interfa\u021ba web, se utilizeaz\u0103 sec\u021biunea Device -> General Settings \u0219i Device -> Management Interface Settings.<\/b> Numele, bannerele, fusul orar \u0219i alte set\u0103ri pot fi stabilite \u00een sec\u021biunea General Settings (fig. 2).<\/p>\n

    \"Caracteristici
    \nFigura 2 \u2013 Set\u0103rile interfe\u021bei de management<\/i><\/p>\n

    \u00cen cazul \u00een care se folose\u0219te un firewall virtual \u00een mediu ESXi, \u00een sec\u021biunea General Settings trebuie activat\u0103 utilizarea adresei MAC atribuite de hypervisor, sau trebuie configurate \u00een hypervisor adresele MAC stabilite pe interfe\u021bele firewall-ului, sau trebuie modificat\u0103 set\u0103rile comutatoarelor virtuale pentru a permite modific\u0103rile adreselor MAC. Altfel, traficul nu va trece.<\/p>\n

    Interfa\u021ba de management se configureaz\u0103 separat \u0219i nu apare \u00een lista interfe\u021belor de re\u021bea. \u00cen sec\u021biunea Management Interface Settings<\/b> se indic\u0103 gateway-ul implicit pentru interfa\u021ba de management. Alte rute statice sunt configurate \u00een sec\u021biunea routerelor virtuale, despre care va fi scris ulterior. <\/p>\n

    Pentru a permite accesul dispozitivului prin alte interfe\u021be, trebuie s\u0103 crea\u021bi un profil de management Profil de Management<\/b> \u00een sec\u021biunea Re\u021bea -> Profiluri de re\u021bea -> Management interfa\u021b\u0103<\/b> \u0219i s\u0103-l aloca\u021bi interfe\u021bei corespunz\u0103toare. <\/p>\n

    Apoi, este necesar s\u0103 configura\u021bi DNS \u0219i NTP \u00een sec\u021biunea Dispozitiv -> Servicii<\/b> pentru a primi actualiz\u0103ri \u0219i a afi\u0219a corect ora (fig. 3). \u00cen mod implicit, tot traficul generat de firewall folose\u0219te ca adres\u0103 IP surs\u0103 adresa IP a interfe\u021bei de management. O alt\u0103 interfa\u021b\u0103 poate fi alocat\u0103 fiec\u0103rei servicii specifice \u00een sec\u021biunea Configurarea rutei serviciului<\/b>.<\/p>\n

    \"Caracteristici
    \nFigura 3 \u2013 Set\u0103rile serviciilor DNS, NTP \u0219i ale rutelor sistemului<\/i><\/p>\n

    2. Instalarea licen\u021belor, configurarea \u0219i instalarea actualiz\u0103rilor<\/h4>\n

    \nPentru a func\u021biona corect toate func\u021biile firewall-ului, trebuie s\u0103 instala\u021bi o licen\u021b\u0103. Pute\u021bi utiliza o licen\u021b\u0103 trial, solicit\u00e2nd-o partenerilor Palo Alto Networks. Valabilitatea acesteia este de 30 de zile. Licen\u021ba poate fi activat\u0103 fie printr-un fi\u0219ier, fie folosind un cod de autentificare. Licen\u021bele se configureaz\u0103 \u00een sec\u021biunea Dispozitiv -> Licen\u021be<\/b> (fig. 4).
    \nDup\u0103 instalarea licen\u021bei, este necesar s\u0103 configura\u021bi instalarea actualiz\u0103rilor \u00een sec\u021biunea Dispozitiv -> Actualiz\u0103ri dinamice<\/b>.
    \n\u00cen sec\u021biune Dispozitiv -> Software<\/b> pute\u021bi desc\u0103rca \u0219i instala noi versiuni PAN-OS.<\/p>\n

    \"Caracteristici
    \nFigura 4 \u2013 Panoul de control al licen\u021belor<\/i><\/p>\n

    3. Configurarea zonelor de securitate, interfe\u021belor de re\u021bea, politicilor de trafic, traducerea adreselor<\/h4>\n

    \nFirewall-urile Palo Alto Networks aplic\u0103 logica zonelor la configurarea regulilor de re\u021bea. Interfe\u021bele de re\u021bea sunt alocate unei anumite zone, iar aceasta este utilizat\u0103 \u00een regulile de trafic. Aceast\u0103 abordare permite ca, \u00een viitor, c\u00e2nd se schimb\u0103 set\u0103rile interfe\u021belor, s\u0103 nu fie necesar\u0103 modificarea regulilor de trafic, ci mai degrab\u0103 s\u0103 se realoce interfe\u021bele necesare \u00een zonele corespunz\u0103toare. \u00cen mod implicit, traficul din interiorul zonei este permis, iar traficul \u00eentre zone este interzis, iar aceasta este responsabilitatea regulilor predefinite intrazone-default<\/b> \u0219i interzone-default<\/b>.<\/p>\n

    \"Caracteristici
    \nFigura 5 \u2013 Zone de securitate<\/i><\/p>\n

    \u00cen acest exemplu, interfa\u021ba din re\u021beaua intern\u0103 este alocat\u0103 zonei intern\u0103<\/b>, iar interfa\u021ba \u00eendreptat\u0103 spre Internet este alocat\u0103 zonei extern\u0103.<\/b>Pentru SSL VPN, a fost creat\u0103 o interfa\u021b\u0103 de tunel, alocat\u0103 \u00een zon\u0103 vpn <\/b>(fig. 5).<\/p>\n

    Interfe\u021bele de re\u021bea ale firewall-ului Palo Alto Networks pot func\u021biona \u00een cinci moduri diferite:<\/p>\n