Tường lửa Palo Alto : Hướng dẫn cấu hình về NAT và Security Policy

1.Giới thiệu

Bài viết này sẽ hướng dẫn người sử dụng tường lửa Palo Alto về các cấu hình liên quan đến NAT va Security policy.

Bài viết này sẽ hướng dẫn các cấu hình sau :

Tạo thẻ để sử dụng sau với quy tắc chính sách bảo mật.
Tạo source NAT rule cơ bản để cho phép truy cập ra ngoài và Security policy rule được liên kết để cho phép lưu lượng truy cập.
Tạo dstination NAT rule cho máy chủ FTP và Security policy rule được liên kết để cho phép lưu lượng truy cập.

2. Hướng dẫn cấu hình

Chúng ta có sơ dồ mạng như sau

2.1 Create Tags

Tag cho phép bạn nhóm, sắp xếp và lọc các đối tượng bằng từ khóa hoặc cụm từ. Các thẻ có thể được áp dụng cho các đối tượng Address, Adress Group (tĩnh và động), Zone, Service, Service Group và policy rule. Các thẻ có thể được chỉ định một màu làm cho kết quả tìm kiếm dễ tìm thấy hơn trong giao diện web. Trong các bước sau, bạn sẽ gán mô tả cho thẻ, gán thẻ màu và áp dụng thẻ cho các chính sách khác nhau.

Để tạo đi đến Objects > Tags > click Add để định nghĩa 1 tag mới với thông số như sau :

Name : Chọn danger từ danh sách thả xuống
Color : Purple

Bấm OK để lưu và đóng cửa sổ cấu hình.

Bấm Add để định nghĩa một tag mới khác với thông số sau :

Name : nhập egress
Color : Blue

Bấm OK để lưu và đóng cửa sổ cấu hình.

Bấm Add để định nghĩa một tag mới khác với thông số sau :

Name : chọn dmz từ danh sách thả xuống
Color :Orange

Bấm OK để lưu và đóng cửa sổ cấu hình.

Bấm Add để định nghĩa một tag mới khác với thông số sau :

Name : nhập internal
Color : Yellow

Bấm OK để lưu và đóng cửa sổ cấu hình.

2.2 Tạo một Souce NAT policy

Để tạo vào Policies > NAT > Click Add và cấu hình với các thông số sau :

Name : source-egress-outside.
Tags : egress.

Chuyển qua Original Packet tab và cấu hình theo thông số sau :

Source Zone : inside
Destination Zone : outside
Destination Interface : ethernet1/1

Chuyển qua Translated Packet tab và cấu hình theo thông số sau :

Translation Type : Dynamic and IP Port
Address Type : Interface Address
Interface : ethernet1/1
IP Address : 203.0.113.20/24 (Chắc chắn rằng địa chỉ IP này được chọn trong danh sách chứ không phải nhập bằng tay)

Click OK để lưu và đóng cửa số cấu hình.

Bạn sẽ không thể truy cập internet vì bạn vẫn cần định cấu hình Security policy để cho phép lưu lượng truy cập giữa các vùng.

3.3 Tạo Security Policy Rules

Security policy rules tham chiếu Security Zone và cho phép bạn cho phép, hạn chế và theo dõi lưu lượng truy cập trên mạng của mình dựa trên ứng dụng, nhóm người dùng hoặc người dùng và dịch vụ (cổng và giao thức).

Để tạo vào Policies > Security > click Add và cấu hình theo thông số sau :

Name : egress-outside
Rule Type : universal (default)
Tags : egress

Chuyển qua Source tab và cấu hình theo thông tin sau :

Source Zone : inside
Source Address : Any

Chuyển qua Destination tab và cấu hình theo thông số sau :

Destination Zone : outside
Destination Address : Any

Chuyển qua Application tab và chắc chắn rằng Any đã được chọn.

Ở tab Service/URL Category, chắc chắn rằng application-default đã được chọn.

Cuối cùng ở Action tab, cấu hình các thông số sau :

Action Setting : Allow
Log Setting : Log at Session End

Bấm Commit để cam kết tất cả các thay đổi.

3.4 Kiểm tra kết nối internet

Mở trình duyệt ở chế độ ẩn danh và truy cập vào msn.com và shutterfly.com để kie53m tra kết nối internet.

Sau khi kiểm tra thành công, trở lại với trang quản trị vào Monitor > Logs > Traffic.

Các mục nhật ký lưu lượng truy cập phải được thể hiện dựa trên kết quả kiểm tra internet. Xác minh rằng có lưu lượng được cho phép phù hợp với Security policy egress-outside vừa tạo. Quá trình này có thể mất một hoặc hai phút để các tệp nhật ký được cập nhật.

3.5 Tạo một FTP service

Khi bạn tạo một Security policy rule cho các ứng dụng cụ thể, bạn có thể chọn một hoặc nhiều dịch vụ giới hạn số cổng mà ứng dụng có thể sử dụng.

Truy cập vào Objects > Services > click Add để tạo FTP service với các thông số sau :

Name : service-ftp
Destination Port : 20-21

Bấm OK để lưu và đóng cửa sổ cấu hình.

3.6 Tạo một Destination NAT Policy

Bạn đang định cấu hình Destination NAT trong phần này để làm quen với cách Destination NAT hoạt động, không phải vì nó cần thiết cho phần này. (Không có host nào bên ngoài sẽ cố gắng kết nối với máy chủ nội bộ.)

Để cấu hình vào Policies > NAT > click Add và cấu hình với các thông số sau :

Name : destination-dmz-ftp
Tags : internal

Ở tab Original Packet cấu hình các thông số sau :

Source Zone : inside
Destination Zone : inside
Destination Interface : ethernet1/2
Service : service-ftp
Destination Address : 192.168.1.1

Ở tab Translated Packet cấu hình các thông số sau :

Destination Address Translation Type : Static.
Translated Address : 192.168.50.10 (địa chỉ IP của DMZ server)

Click OK để lưu và đóng cửa số cấu hình.

3.7 Tạo một Security Policy Rule

Bấm vào Dashboard tab.

Lưu lại thời gian hiện tại của tường lửa.

Vào Policies > Security > click Add và cấu hình theo các thông số sau :

Name : interface-dmz-ftp
Rule Type : universal (default)
Tags : internal

Ở Source tab cấu hình như sau :

Source Zone : inside

Ở Destination tab cấu hình như sau :

Destination Zone : dmz
Destination Address : 192.168.1.1

Ở Service/URL Category tab cấu hình như sau :

Service : service-ftp

Ở Action tab, chắc chắn rằng Allow đã được chọn.

Ở Schedule bấm vào danh sách thả xuống và chọn New Schedule.

Theo mặc định, các Security Polict rule luôn có hiệu lực (tất cả các ngày và thời gian). Để giới hạn Security policy trong thời gian cụ thể, bạn có thể xác định lịch biểu và sau đó áp dụng chúng cho các Security policy phù hợp.

Cấu hình new schedule như sau :

Name : internal-dmz-ftp
Recurrence : Daily
Start Time : 5 phút từ thời gian để note trước đó.
End Time : 2 giờ từ thời gian đã note trước đó.

Lưu ý : Input Time có định dạng 24 giờ.

Bấm OK 2 lần để lưu và đóng cửa sổ cấu hình.

3.8 Kiểm tra kết nối

Đợi thời gian đã lên lịch để bắt đầu Security policy internal-dmz-ftp.

Mở trình duyệt Chrome với mode ẩn danh và truy cập đến DMZ server với đường link ftp://192.168.1.1.

Tại dấu nhắc thông tin đăng nhập, nhập thông tin sau :

Username : lab-user
Password : paloalto

192.168.1.1 là địa chỉ của interface bên trong trên tường lửa. Tường lửa không lưu trữ máy chủ FTP. Việc bạn được nhắc nhập tên người dùng cho biết FTP đã được cho phép thông qua tường lửa bằng cách sử dụng Destination NAT.

Xác minh rằng bạn có thể xem danh sách thư mục và sau đó đóng cửa sổ trình duyệt Chrome.