Napriek všetkým výhodám firewallov Palo Alto Networks nie je v slovenčine veľa materiálov o konfigurácii týchto zariadení, ako aj textov popisujúcich skúsenosti s ich nasadením. Rozhodli sme sa zhrnúť materiály, ktoré sme nazbierali za čas našej práce s vybavením tohto dodávateľa a rozprávať o špecifikách, s ktorými sme sa stretli pri realizácii rôznych projektov.
Na zoznámenie sa s Palo Alto Networks sa v tomto článku preskúmajú nastavenia potrebné na riešenie jednej z najbežnejších úloh firewallovania — SSL VPN pre diaľkový prístup. Takisto sa porozprávame o vedľajších funkciách pre celkovú konfiguráciu firewalla, identifikáciu používateľov, aplikácií a bezpečnostných politík. Ak téma zaujme čitateľov, v budúcnosti vydáme materiály s rozborom Site-to-Site, VPN, dynamického smerovania a centralizovanej správy pomocou Panorama.
Firewally Palo Alto Networks využívajú množstvo inovatívnych technológií, vrátane App-ID, User-ID, Content-ID. Použitie tejto funkcionality umožňuje zabezpečiť vysokú úroveň bezpečnosti. Napríklad s pomocou App-ID je možné identifikovať prenos aplikácií na základe signatúr, dekódovania a heuristiky, bez ohľadu na používaný port a protokol, vrátane interného SSL tunela. User-ID umožňuje identifikovať používateľov siete prostredníctvom integrácie s LDAP. Content-ID dáva možnosť skenovať prenos a identifikovať prenášané súbory a ich obsah. Medzi ďalšie funkcie firewallov patrí ochrana pred vniknutím, ochrana pred zraniteľnosťami a DoS útokmi, integrovaná anti-spyware, URL filtrácia, klastrová technológia a centralizovaná správa.
Na demonštráciu použijeme izolovaný testovací stánok s konfiguráciou, ktorá je identická s reálnou, s výnimkou názvov zariadení, názvu domény AD a IP adries. V skutočnosti je to zložitejšie — pobočiek môže byť množstvo. Na hraniciach centrálnych miest v takomto prípade bude namiesto jedného firewallu nainštalovaný klaster, môže byť tiež potrebné dynamické smerovanie.
Na testovacom stánku sa používa PAN-OS 7.1.9. Ako typickú konfiguráciu si vezmeme sieť s firewallom Palo Alto Networks na hranici. Firewall poskytuje vzdialený prístup SSL VPN do centrály. Ako databázu používateľov budeme používať doménu Active Directory (obrázok 1).
Obrázok 1 – Štrukturálna schéma siete
Fázy nastavenia:
- Prednastavenie zariadenia. Určenie názvu, IP adresy riadenia, statických smerovaní, administrátorských účtov, riadiacich profilov
- Inštalácia licencií, nastavenie a inštalácia aktualizácií
- Nastavenie bezpečnostných zón, sieťových rozhraní, pravidiel pre traffic, preklad adries
- Nastavenie profilu autentifikácie LDAP a funkcie Identifikácia používateľa
- Nastavenie SSL VPN
1. Prednastavenie
Hlavným nástrojom na konfiguráciu firewallu Palo Alto Networks je webové rozhranie, je tiež možné riadiť ho pomocou CLI. Predvolene má management rozhranie pridelenú IP adresu 192.168.1.1/24, login: admin, heslo: admin.
Adresa sa dá zmeniť buď pripojením k webovému rozhraniu z tej istej siete, alebo pomocou príkazu set deviceconfig system ip-address netmask. Potrvá to v konfiguračnom režime. Na prechod do konfiguračného režimu sa používa príkaz configure. Všetky zmeny na firewalle sa uskutočňujú iba po potvrdení nastavení príkazom commit, a to ako v príkazovom riadku, tak aj vo webovom rozhraní.
Na zmenu nastavení vo webovom rozhraní sa používa sekcia Device -> General Settings a Device -> Management Interface Settings. Názov, bannery, časové pásmo a ďalšie nastavenia je možné určiť v sekcii General Settings (obrázok 2).
Obrázok 2 – Nastavenia riadiaceho rozhrania
V prípade, že sa používa virtuálny firewall v prostredí ESXi, v sekcii General Settings je potrebné povoliť používanie MAC adresy pridelené hypervízorom, alebo nastaviť na hypervízore MAC adresy priradené k rozhraniam firewalla, alebo zmeniť nastavenia virtuálnych prepínačov na povolenie zmien MAC adries. Inak nebude traffic prechádzať.
Management rozhranie sa konfiguruje samostatne a nezobrazuje sa v zozname sieťových rozhraní. V sekcii Management Interface Settings sa uvádza predvolená brána pre management rozhranie. Iné statické smerovania sa konfigrujú v sekcii virtuálnych smerovačov, o tom bude písané ďalej.
Na to, aby ste umožnili prístup k zariadeniu cez iné rozhrania, je potrebné vytvoriť profil správy. Profil správy v sekcii Sieť -> Profily siete -> Správa rozhrania a priradiť ho príslušnému rozhraniu.
Ďalej je potrebné nastaviť DNS a NTP v sekcii Zariadenie -> Služby na získavanie aktualizácií a správne zobrazenie času (obr. 3). Predvolene celý prenos vytvorený firewallem používa ako IP adresu zdroja IP adresu správy rozhrania. Na priradenie iného rozhrania pre každú konkrétnu službu je možné to vykonať v sekcii Konfigurácia servisnej trasy.
Obrázok 3 – Parametre služby DNS, NTP a systémové trasy
2. Inštalácia licencií, nastavenie a inštalácia aktualizácií
Na plnú funkčnosť všetkých funkcií firewallu je potrebné nainštalovať licenciu. Môžete použiť skúšobnú licenciu, ktorú si môžete vyžiadať od partnerov Palo Alto Networks. Jej platnosť je 30 dní. Licencia sa aktivuje buď cez súbor, alebo pomocou Auth-Code. Licencie sa nastavujú v sekcii Zariadenie -> Licencie (obr. 4).
Po inštalácii licencie je potrebné nastaviť inštaláciu aktualizácií v sekcii Zariadenie -> Dynamické aktualizácie.
V sekcii Zariadenie -> Softvér je možné stiahnuť a nainštalovať nové verzie PAN-OS.
Obrázok 4 – Ovládací panel licencií
3. Nastavenie bezpečnostných zón, sieťových rozhraní, politík prenosu, prekladu adries
Firewally Palo Alto Networks uplatňujú logiku zón pri nastavovaní sieťových pravidiel. Sieťové rozhrania sú priradené k určitej zóne a tá sa používa v pravidlách prenosu. Takýto prístup umožňuje pri budúcej zmene nastavení rozhraní nemeniť pravidlá prenosu, ale namiesto toho priradiť potrebné rozhrania do príslušných zón. Predvolene je prenos v rámci zóny povolený, prenos medzi zónami je zakázaný, o to sa starajú prednastavené pravidlá intrazone-default a interzone-default.
Obrázok 5 – Bezpečnostné zóny
V tomto príklade je rozhranie vo vnútornnej sieti priradené do zóny internal, a rozhranie smerujúce do internetu je priradené do zóny external. Pre SSL VPN je vytvorené tunelové rozhranie priradené do zóny vpn (obr. 5).
Sieťové rozhrania firewalla Palo Alto Networks môžu pracovať v piatich rôznych režimoch:
- Tap – používa sa na zber prenosu na monitorovanie a analýzu
- HA – používa sa na prevádzku klastru
- Virtuálny drôt – v tomto režime Palo Alto Networks spája dve rozhrania a transparentne prepúšťa traffic medzi nimi, bez zmeny MAC a IP adries
- Layer2 – režim prepínača
- Layer3 – režim routovania
Obrázok 6 – Nastavenie režimu práce rozhrania
V tomto príklade bude použitý režim Layer3 (obr. 6). V parametroch sieťového rozhrania sa uvádza IP adresa, režim práce a príslušná bezpečnostná zóna. Okrem režimu práce rozhrania je potrebné priradiť ho do virtuálneho routera Virtual Router, čo je ekvivalent VRF inštancie v Palo Alto Networks. Virtuálne routre sú navzájom izolované a majú svoje tabuľky routovania a nastavenia sieťových protokolov.
V nastaveniach virtuálneho routera sa uvádzajú statické routy a nastavenia protokolov routovania. V tomto príklade bol vytvorený iba predvolený rout pre prístup do vonkajších sietí (obr. 7).
Obrázok 7 – Nastavenie virtuálneho routera
Ďalší krok nastavenia – politiky trafficu, sekcia Policies -> Security. Príklad nastavenia je znázornený na obrázku 8. Logika fungovania pravidiel je rovnaká ako u všetkých firewallov. Pravidlá sa kontrolujú zhora nadol, až do prvého zhody. Stručný popis pravidiel:
1. SSL VPN Access to Web Portal. Umožňuje prístup k webovému portálu na autentifikáciu vzdialených pripojení
2. VPN traffic – povolenie trafficu medzi vzdialenými pripojeniami a centrálnym úradom
3. Basic Internet – povolenie aplikácií dns, ping, traceroute, ntp. Firewall povolení aplikácie na základe podpisov, dekódovania a heuristiky, a nie čísiel portov a protokolov, a preto v sekcii Service je uvedené application-default. Port/protokol predvolene pre túto aplikáciu
4. Web Access – povolenie prístupu na internet prostredníctvom protokolov HTTP a HTTPS bez kontroly aplikácií
5,6. Predvolené pravidlá pre ostatný traffic.
Obrázok 8 — Príklad nastavenia sieťových pravidiel
Na nastavenie NAT sa používa sekcia Policies -> NAT. Príklad nastavenia NAT je znázornený na obrázku 9.
Obrázok 9 – Príklad nastavenia NAT
Pre akýkoľvek traffic z interného do externého sa môže zmeniť adresa zdroja na externú IP adresu firewallu a použiť dynamickú adresu portu (PAT).
4. Nastavenie profilu autentizácie LDAP a funkcie User Identification
Pred pripojením používateľov cez SSL-VPN je potrebné nastaviť mechanizmus autentifikácie. V tomto príklade sa autentifikácia uskutoční na riadiacom serveri domény Active Directory prostredníctvom webového rozhrania Palo Alto Networks.
Obrázok 10 – LDAP profil
Aby autentifikácia fungovala, je potrebné nastaviť LDAP profil a Profil autentifikácie. V sekcii Zariadenie -> Profil servera -> LDAP (obr. 10) je potrebné uviesť IP adresu a port riadiaceho servera domény, typ LDAP a používateľské konto, ktoré patrí do skupín Server Operators, Event Log Readers, Distributed COM Users. Následne v sekcii Zariadenie -> Profil autentifikácie vytvoríme profil autentifikácie (obr. 11), označíme už vytvorený LDAP profil a na karte Pokročilé uvedieme skupinu používateľov (obr. 12), ktorým je povolený vzdialený prístup. Dôležité je v profile uviesť parameter User Domain, inak autorizácia na základe skupín nebude fungovať. V poli musí byť uvedené NetBIOS meno domény.
Obrázok 11 – Profil autentifikácie
Obrázok 12 – Výber skupiny AD
Ďalším krokom je nastavenie Zariadenie -> Identifikácia používateľov. Tu je potrebné uviesť IP adresu riadiaceho servera domény, poverenia na pripojenie a tiež nastaviť parametre Povoliť bezpečnostný protokol, Povoliť reláciu, Povoliť skúmanie (obr. 13). V sekcii Mapovanie skupín (obr. 14) je potrebné označiť parametre identifikácie objektov v LDAP a zoznam skupín, ktoré sa budú používať na autorizáciu. Rovnako ako v Profile autentifikácie, je potrebné uviesť parameter User Domain.
Obrázok 13 – Parametre mapovania používateľov
Obrázok 14 – Parametre mapovania skupín
Posledným krokom v tejto fáze bude vytvorenie VPN zóny a rozhrania pre túto zónu. Na rozhraní je potrebné aktivovať parameter Povoliť identifikáciu používateľov (obr. 15).
Obrázok 15 – Nastavenie VPN zóny
5. Nastavenie SSL VPN
Pred pripojením SSL VPN sa musí vzdialený používateľ prihlásiť na webový portál, overiť svoju identitu a stiahnuť klienta Global Protect. Následne tento klient vyžaduje prihlasovacie údaje a pripojí sa k firemnej sieti. Webový portál funguje v režime https, a preto je potrebné nainštalovať certifikát. Použite verejný certifikát, ak je to možné. Potom používateľovi nebude zobrazená správa o neplatnosti certifikátu na stránke. Ak nie je možné použiť verejný certifikát, je potrebné vydanie vlastného certifikátu, ktorý sa použije na webovej stránke pre https. Môže to byť samopodpisovaný certifikát alebo certifikát vydaný zo súkromného certifikačného úradu. Vzdialený počítač musí mať základný alebo samopodpisovaný certifikát v zozname dôveryhodných koreňových certifikačných úradov, aby sa používateľovi nezobrazila chyba pri pripojení na webový portál. V tomto príklade sa použije certifikát vydaný cez certifikačné služby Active Directory.
Na vydanie certifikátu je potrebné vytvoriť žiadosť o certifikát v sekcii Device -> Certificate Management -> Certificates -> Generate. V žiadosti uvedieme názov certifikátu a IP adresu alebo FQDN webového portálu (obr. 16). Po vygenerovaní žiadosti stiahneme .csr súbor a skopírujeme jeho obsah do poľa žiadosti o certifikát vo webovom formulári AD CS Web Enrollment. V závislosti od nastavenia certifikačného úradu je potrebné schváliť žiadosť o certifikát a stiahnuť vydaný certifikát vo formáte Base64 Encoded Certificate. Okrem toho je potrebné stiahnuť koreňový certifikát certifikačného úradu. Potom je potrebné importovať oba certifikáty na firewall. Pri importe certifikátu pre webový portál je potrebné vybrať žiadosť so statusom pending a kliknúť na import. Názov certifikátu by mal súhlasiť s názvom uvedeným skôr v žiadosti. Názov koreňového certifikátu môže byť zvolený ľubovoľne. Po importe certifikátu je potrebné vytvoriť SSL/TLS Service Profile v sekcii Device -> Certificate Management. V profile uvádzame predtým importovaný certifikát.
Obrázok 16 – Žiadosť o certifikát
Ďalším krokom je nastavenie objektov Global Protect Gateway a Global Protect Portal v sekcii Network -> Global Protect. V nastaveniach Global Protect Gateway uvedieme externú IP adresu firewallu a tiež predtým vytvorené SSL Profile, Profil autentifikácie, tunelový rozhranie a IP nastavenia klienta. Je potrebné definovať pool IP adries, z ktorého bude priradená adresa klientovi, a Access Route – podsiete, ktorým klient bude mať prístup. Ak je úlohou presmerovať celý používateľský prenos cez firewall, je potrebné zadať podsiet 0.0.0.0/0 (obr. 17).
Obrázok 17 – Nastavenie poolu IP adries a trás
Potom je potrebné nastaviť Global Protect Portal. Zadajme IP adresu firewallu, SSL Profile a Profil autentifikácie a zoznam vonkajších IP adries firewallov, ku ktorým sa klient pripojí. Ak je firewallov viac, je možné pre každý nastaviť prioritu, podľa ktorého si používatelia vyberú firewall na pripojenie.
V sekcii Device -> GlobalProtect Client je potrebné stiahnuť distribúciu VPN klienta zo serverov Palo Alto Networks a aktivovať ju. Na pripojenie musí používateľ navštíviť webovú stránku portálu, kde mu bude ponúknuté na stiahnutie GlobalProtect Client. Po stiahnutí a nainštalovaní bude možné zadať svoje prihlasovacie údaje a pripojiť sa k firemnej sieti cez SSL VPN.
Záver
Týmto sa časť nastavenia Palo Alto Networks končí. Dúfame, že informácie boli užitočné a čitateľ získal prehľad o technológiách používaných v Palo Alto Networks. Ak máte otázky k nastaveniu a návrhy na témy budúcich článkov – píšte ich do komentárov, radi odpovieme.
Zdroj: habr.com
