Hướng dẫn cấu hình Policy Based Forwarding trên thiết bị Palo Alto

Post published:05/20/2021
Post category:Hướng dẫn cấu hình Firewall Palo Alto
Post comments:0 Comments

1.Mục đích bài viết

Trong bài viết này thegioifirewall sẽ hướng dẫn các bạn cách cấu hình tính Policy Based Forwarding trên thiết bị tường lửa Palo Alto.

2.Policy Based Forwarding là gì và công dụng của nó ?

Policy Based Forwarding là một policy hay nói đúng hơn là một ngoại lệ cho phép người quản trị có thể thực hiện thay đổi đường đi internet của các máy trạm theo nhu cầu của họ mà không ảnh hưởng đến các policy khác trong tường lửa.

Ví dụ trên thiết bị Palo Alto chúng ta chạy load balancing 2 đường WAN và WAN1. Khi đó các traffic trong mạng LAN sẽ phân phối ngẫu nhiên qua hai đường WAN này.

Giả sử bạn có một server hoặc máy người dùng sử dụng các phần mềm quốc tế và WAN1 lại đáp ứng điều đó tốt hơn nhưng server hoặc máy người dùng đó lại đang chạy đường WAN.

Lúc này Policy Based Forwarding sẽ giúp bạn điều chỉnh cố đường đi internet của server hoặc máy người dùng sang WAN1 để đáp ứng nhu cầu của bạn.

3.Sơ đồ mạng

Chi tiết sơ đồ mạng:

Chúng ta có 2 kết nối internet kết nối đầu tiên ở cổng E1/1 có IP 14.169.x.x thuộc WAN1 zone và kết nối internet thứ hai ở cổng E1/2 có IP 115.78.x.x thuộc WAN zone.
Phía trong là lớp mạng LAN được cấu hình tại cổng E1/3 với IP 172.16.16.1/24 và được cấu hình DHCP Server.
Cuối cùng là Laptop 1 được kết nối với port E1/3 có IP 172.16.16.130/24.

4.Tình huống cấu hình

Khi kết nối máy tính vào mạng LAN thegioifirewall đã kiểm tra và thấy Laptop 1 đang truy cập internet bằng đường WAN1 thông qua lệnh tracert.

Thegioifirewall sẽ thực hiện cấu hình Policy Based Forwading để điều chỉnh đường đi internet của Laptop 1 sang WAN.

5.Hướng dẫn cấu hình

Vào Policies > Policy Based Forwarding > nhấn Add.

Tạo theo các thông số sau:

General tab:

Name: Route_WAN

Source tab:

Zone: LAN
Source Address: 172.16.16.130

Destination/Application/Service tab:

Destination Address: 0.0.0.0/0
Application: chọn Any
Service: chọn Any

Forwarding tab:

Action: Forward
Egress Interface: chọn ethernet1/2 (cổng WAN)
Next hop: chọn IP Address và điền IP của cổng WAN vào ô bên dưới.
Monitor: tích chọn
Profile: chọn default
Tích chọn Disable this rule if nexthop/monitor is unreachable
IP Address: 8.8.8.8
Với tính năng Disable này thì thiết bị tường lửa sẽ thực hiện test kết nối địa chỉ IP nexthop mà chúng ta nhập phía trên bằng cách ping đến địa chỉ google 8.8.8.8, nếu kết nối bị ngắt thì thiết bị sẽ tự động tắt policy này để không ảnh hưởng đến kết nối.
Nhấn OK để lưu