{"id":32126,"date":"2019-10-31T21:45:18","date_gmt":"2019-10-31T18:45:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn\/"},"modified":"2019-10-31T21:45:18","modified_gmt":"2019-10-31T18:45:18","slug":"osobennosti-nastrojki-palo-alto-networks-ssl-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/osobennosti-nastrojki-palo-alto-networks-ssl-vpn","title":{"rendered":"Funkcie nastavenia Palo Alto Networks: SSL VPN.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Funkcie
\n
\nNapriek v\u0161etk\u00fdm v\u00fdhod\u00e1m firewallov Palo Alto Networks nie je v sloven\u010dine ve\u013ea materi\u00e1lov o konfigur\u00e1cii t\u00fdchto zariaden\u00ed, ako aj textov popisuj\u00facich sk\u00fasenosti s ich nasaden\u00edm. Rozhodli sme sa zhrn\u00fa\u0165 materi\u00e1ly, ktor\u00e9 sme nazbierali za \u010das na\u0161ej pr\u00e1ce s vybaven\u00edm tohto dod\u00e1vate\u013ea a rozpr\u00e1va\u0165 o \u0161pecifik\u00e1ch, s ktor\u00fdmi sme sa stretli pri realiz\u00e1cii r\u00f4znych projektov. <\/p>\n

Na zozn\u00e1menie sa s Palo Alto Networks sa v tomto \u010dl\u00e1nku presk\u00famaj\u00fa nastavenia potrebn\u00e9 na rie\u0161enie jednej z najbe\u017enej\u0161\u00edch \u00faloh firewallovania \u2014 SSL VPN pre dia\u013ekov\u00fd pr\u00edstup. Takisto sa porozpr\u00e1vame o ved\u013eaj\u0161\u00edch funkci\u00e1ch pre celkov\u00fa konfigur\u00e1ciu firewalla, identifik\u00e1ciu pou\u017e\u00edvate\u013eov, aplik\u00e1ci\u00ed a bezpe\u010dnostn\u00fdch polit\u00edk. Ak t\u00e9ma zaujme \u010ditate\u013eov, v bud\u00facnosti vyd\u00e1me materi\u00e1ly s rozborom Site-to-Site, VPN<\/a>, dynamick\u00e9ho smerovania a centralizovanej spr\u00e1vy pomocou Panorama.
\n<\/a><\/noindex>
\nFirewally Palo Alto Networks vyu\u017e\u00edvaj\u00fa mno\u017estvo inovat\u00edvnych technol\u00f3gi\u00ed, vr\u00e1tane App-ID, User-ID, Content-ID. Pou\u017eitie tejto funkcionality umo\u017e\u0148uje zabezpe\u010di\u0165 vysok\u00fa \u00farove\u0148 bezpe\u010dnosti. Napr\u00edklad s pomocou App-ID je mo\u017en\u00e9 identifikova\u0165 prenos aplik\u00e1ci\u00ed na z\u00e1klade signat\u00far, dek\u00f3dovania a heuristiky, bez oh\u013eadu na pou\u017e\u00edvan\u00fd port a protokol, vr\u00e1tane intern\u00e9ho SSL tunela. User-ID umo\u017e\u0148uje identifikova\u0165 pou\u017e\u00edvate\u013eov siete prostredn\u00edctvom integr\u00e1cie s LDAP. Content-ID d\u00e1va mo\u017enos\u0165 skenova\u0165 prenos a identifikova\u0165 pren\u00e1\u0161an\u00e9 s\u00fabory a ich obsah. Medzi \u010fal\u0161ie funkcie firewallov patr\u00ed ochrana pred vniknut\u00edm, ochrana pred zranite\u013enos\u0165ami a DoS \u00fatokmi, integrovan\u00e1 anti-spyware, URL filtr\u00e1cia, klastrov\u00e1 technol\u00f3gia a centralizovan\u00e1 spr\u00e1va.<\/p>\n

Na demon\u0161tr\u00e1ciu pou\u017eijeme izolovan\u00fd testovac\u00ed st\u00e1nok s konfigur\u00e1ciou, ktor\u00e1 je identick\u00e1 s re\u00e1lnou, s v\u00fdnimkou n\u00e1zvov zariaden\u00ed, n\u00e1zvu dom\u00e9ny AD a IP adries. V skuto\u010dnosti je to zlo\u017eitej\u0161ie \u2014 pobo\u010diek m\u00f4\u017ee by\u0165 mno\u017estvo. Na hraniciach centr\u00e1lnych miest v takomto pr\u00edpade bude namiesto jedn\u00e9ho firewallu nain\u0161talovan\u00fd klaster, m\u00f4\u017ee by\u0165 tie\u017e potrebn\u00e9 dynamick\u00e9 smerovanie.<\/p>\n

Na testovacom st\u00e1nku sa pou\u017e\u00edva PAN-OS 7.1.9<\/b>. Ako typick\u00fa konfigur\u00e1ciu si vezmeme sie\u0165 s firewallom Palo Alto Networks na hranici. Firewall poskytuje vzdialen\u00fd pr\u00edstup SSL VPN do centr\u00e1ly. Ako datab\u00e1zu pou\u017e\u00edvate\u013eov budeme pou\u017e\u00edva\u0165 dom\u00e9nu Active Directory (obr\u00e1zok 1).<\/p>\n

\"Funkcie
\nObr\u00e1zok 1 \u2013 \u0160truktur\u00e1lna sch\u00e9ma siete<\/i><\/p>\n

F\u00e1zy nastavenia:<\/p>\n

    \n
  1. Prednastavenie zariadenia. Ur\u010denie n\u00e1zvu, IP adresy<\/a> riadenia, statick\u00fdch smerovan\u00ed, administr\u00e1torsk\u00fdch \u00fa\u010dtov, riadiacich profilov<\/li>\n
  2. In\u0161tal\u00e1cia licenci\u00ed, nastavenie a in\u0161tal\u00e1cia aktualiz\u00e1ci\u00ed<\/li>\n
  3. Nastavenie bezpe\u010dnostn\u00fdch z\u00f3n, sie\u0165ov\u00fdch rozhran\u00ed, pravidiel pre traffic, preklad adries<\/li>\n
  4. Nastavenie profilu autentifik\u00e1cie LDAP a funkcie Identifik\u00e1cia pou\u017e\u00edvate\u013ea<\/li>\n
  5. Nastavenie SSL VPN<\/li>\n<\/ol>\n

    <\/p>\n

    1. Prednastavenie<\/h4>\n

    \nHlavn\u00fdm n\u00e1strojom na konfigur\u00e1ciu firewallu Palo Alto Networks je webov\u00e9 rozhranie, je tie\u017e mo\u017en\u00e9 riadi\u0165 ho pomocou CLI. Predvolene m\u00e1 management rozhranie pridelen\u00fa IP adresu 192.168.1.1\/24, login: admin, heslo: admin. <\/p>\n

    Adresa sa d\u00e1 zmeni\u0165 bu\u010f pripojen\u00edm k webov\u00e9mu rozhraniu z tej istej siete, alebo pomocou pr\u00edkazu set deviceconfig system ip-address netmask<\/b>. Potrv\u00e1 to v konfigura\u010dnom re\u017eime. Na prechod do konfigura\u010dn\u00e9ho re\u017eimu sa pou\u017e\u00edva pr\u00edkaz configure<\/b>. V\u0161etky zmeny na firewalle sa uskuto\u010d\u0148uj\u00fa iba po potvrden\u00ed nastaven\u00ed pr\u00edkazom commit<\/b>, a to ako v pr\u00edkazovom riadku, tak aj vo webovom rozhran\u00ed.<\/p>\n

    Na zmenu nastaven\u00ed vo webovom rozhran\u00ed sa pou\u017e\u00edva sekcia Device -> General Settings a Device -> Management Interface Settings.<\/b> N\u00e1zov, bannery, \u010dasov\u00e9 p\u00e1smo a \u010fal\u0161ie nastavenia je mo\u017en\u00e9 ur\u010di\u0165 v sekcii General Settings (obr\u00e1zok 2).<\/p>\n

    \"Funkcie
    \nObr\u00e1zok 2 \u2013 Nastavenia riadiaceho rozhrania<\/i><\/p>\n

    V pr\u00edpade, \u017ee sa pou\u017e\u00edva virtu\u00e1lny firewall v prostred\u00ed ESXi, v sekcii General Settings je potrebn\u00e9 povoli\u0165 pou\u017e\u00edvanie MAC adresy pridelen\u00e9 hyperv\u00edzorom, alebo nastavi\u0165 na hyperv\u00edzore MAC adresy priraden\u00e9 k rozhraniam firewalla, alebo zmeni\u0165 nastavenia virtu\u00e1lnych prep\u00edna\u010dov na povolenie zmien MAC adries. Inak nebude traffic prech\u00e1dza\u0165.<\/p>\n

    Management rozhranie sa konfiguruje samostatne a nezobrazuje sa v zozname sie\u0165ov\u00fdch rozhran\u00ed. V sekcii Management Interface Settings<\/b> sa uv\u00e1dza predvolen\u00e1 br\u00e1na pre management rozhranie. In\u00e9 statick\u00e9 smerovania sa konfigruj\u00fa v sekcii virtu\u00e1lnych smerova\u010dov, o tom bude p\u00edsan\u00e9 \u010falej. <\/p>\n

    Na to, aby ste umo\u017enili pr\u00edstup k zariadeniu cez in\u00e9 rozhrania, je potrebn\u00e9 vytvori\u0165 profil spr\u00e1vy. Profil spr\u00e1vy<\/b> v sekcii Sie\u0165 -> Profily siete -> Spr\u00e1va rozhrania<\/b> a priradi\u0165 ho pr\u00edslu\u0161n\u00e9mu rozhraniu. <\/p>\n

    \u010ealej je potrebn\u00e9 nastavi\u0165 DNS a NTP v sekcii Zariadenie -> Slu\u017eby<\/b> na z\u00edskavanie aktualiz\u00e1ci\u00ed a spr\u00e1vne zobrazenie \u010dasu (obr. 3). Predvolene cel\u00fd prenos vytvoren\u00fd firewallem pou\u017e\u00edva ako IP adresu zdroja IP adresu spr\u00e1vy rozhrania. Na priradenie in\u00e9ho rozhrania pre ka\u017ed\u00fa konkr\u00e9tnu slu\u017ebu je mo\u017en\u00e9 to vykona\u0165 v sekcii Konfigur\u00e1cia servisnej trasy<\/b>.<\/p>\n

    \"Funkcie
    \nObr\u00e1zok 3 \u2013 Parametre slu\u017eby DNS, NTP a syst\u00e9mov\u00e9 trasy<\/i><\/p>\n

    2. In\u0161tal\u00e1cia licenci\u00ed, nastavenie a in\u0161tal\u00e1cia aktualiz\u00e1ci\u00ed<\/h4>\n

    \nNa pln\u00fa funk\u010dnos\u0165 v\u0161etk\u00fdch funkci\u00ed firewallu je potrebn\u00e9 nain\u0161talova\u0165 licenciu. M\u00f4\u017eete pou\u017ei\u0165 sk\u00fa\u0161obn\u00fa licenciu, ktor\u00fa si m\u00f4\u017eete vy\u017eiada\u0165 od partnerov Palo Alto Networks. Jej platnos\u0165 je 30 dn\u00ed. Licencia sa aktivuje bu\u010f cez s\u00fabor, alebo pomocou Auth-Code. Licencie sa nastavuj\u00fa v sekcii Zariadenie -> Licencie<\/b> (obr. 4).
    \nPo in\u0161tal\u00e1cii licencie je potrebn\u00e9 nastavi\u0165 in\u0161tal\u00e1ciu aktualiz\u00e1ci\u00ed v sekcii Zariadenie -> Dynamick\u00e9 aktualiz\u00e1cie<\/b>.
    \nV sekcii Zariadenie -> Softv\u00e9r<\/b> je mo\u017en\u00e9 stiahnu\u0165 a nain\u0161talova\u0165 nov\u00e9 verzie PAN-OS.<\/p>\n

    \"Funkcie
    \nObr\u00e1zok 4 \u2013 Ovl\u00e1dac\u00ed panel licenci\u00ed<\/i><\/p>\n

    3. Nastavenie bezpe\u010dnostn\u00fdch z\u00f3n, sie\u0165ov\u00fdch rozhran\u00ed, polit\u00edk prenosu, prekladu adries<\/h4>\n

    \nFirewally Palo Alto Networks uplat\u0148uj\u00fa logiku z\u00f3n pri nastavovan\u00ed sie\u0165ov\u00fdch pravidiel. Sie\u0165ov\u00e9 rozhrania s\u00fa priraden\u00e9 k ur\u010ditej z\u00f3ne a t\u00e1 sa pou\u017e\u00edva v pravidl\u00e1ch prenosu. Tak\u00fdto pr\u00edstup umo\u017e\u0148uje pri bud\u00facej zmene nastaven\u00ed rozhran\u00ed nemeni\u0165 pravidl\u00e1 prenosu, ale namiesto toho priradi\u0165 potrebn\u00e9 rozhrania do pr\u00edslu\u0161n\u00fdch z\u00f3n. Predvolene je prenos v r\u00e1mci z\u00f3ny povolen\u00fd, prenos medzi z\u00f3nami je zak\u00e1zan\u00fd, o to sa staraj\u00fa prednastaven\u00e9 pravidl\u00e1 intrazone-default<\/b> a interzone-default<\/b>.<\/p>\n

    \"Funkcie
    \nObr\u00e1zok 5 \u2013 Bezpe\u010dnostn\u00e9 z\u00f3ny<\/i><\/p>\n

    V tomto pr\u00edklade je rozhranie vo vn\u00fatornnej sieti priraden\u00e9 do z\u00f3ny internal<\/b>, a rozhranie smeruj\u00face do internetu je priraden\u00e9 do z\u00f3ny external<\/b>. Pre SSL VPN je vytvoren\u00e9 tunelov\u00e9 rozhranie priraden\u00e9 do z\u00f3ny vpn <\/b>(obr. 5).<\/p>\n

    Sie\u0165ov\u00e9 rozhrania firewalla Palo Alto Networks m\u00f4\u017eu pracova\u0165 v piatich r\u00f4znych re\u017eimoch:<\/p>\n