جدار الحماية من الجيل التالي من Palo Alto: مفاهيم الإعداد من المناطق إلى سياسة الأمان

لا يكتفي جدار الحماية من الجيل التالي (NGFW) من Palo Alto Networks بفتح المنافذ وإغلاقها. فهو يحدد التطبيق الذي يقف وراء كل اتصال، والمستخدم الذي بدأه، والمحتوى الذي يحمله، ثم يطبّق سياسة على كل واحد منها. يشرح هذا المقال الإعداد بالترتيب الذي ستواجهه فيه: تخطيط الشبكة، والوصول الأول، والواجهات والمناطق، وسياسة الأمان، وNAT، وملفات تعريف الأمان، وفك التشفير، والوصول عن بُعد، والمراقبة. ولكل قسم رسم توضيحي أو قائمة تحقق، لتتابع تصميم الحل قبل أن تلمس الجهاز.

ما الذي تحتاجه

ينبغي أن تعرف عناوين IP والشبكات الفرعية الأساسية، وما الذي يفعله الموجّه والمحوّل. ويفيد كثيرًا أن تكون قد قرأت المقال المستوى CCNA على هذا الموقع. وتحتاج للتدرب إلى بيئة مختبر أو جهاز اختبار، أو على الأقل صورة مختبر أو محاكٍ يوفره المصنّع. اعمل على جهاز تملكه أو يُسمح لك بإعداده، ولا تغيّر جدار حماية في بيئة الإنتاج دون خطة مكتوبة وخطة للتراجع.

رسوم توضيحية

الموضوع 1: ماذا يفعل جدار الحماية من الجيل التالي

يقرر جدار الحماية التقليدي بناءً على عنوان IP المصدر والوجهة ورقم المنفذ. وهذا لم يعد كافيًا، لأن كثيرًا من التطبيقات، مثل متصفحات الويب ومكالمات الفيديو، تستخدم المنفذ 443 أو منافذ شائعة أخرى. أما NGFW فيقرأ الحركة نفسها ويقرر بناءً على ما هي الحركة، ومن أرسلها، وما الذي تحمله.

الفرق بين جدار الحماية التقليدي وNGFW

جدار الحماية الذي ينظر إلى المنفذ فقط سيسمح بكل ما على المنفذ 443. أما NGFW فيمكنه السماح لمتصفح الويب بالوصول إلى موقع أخبار، وحظر تطبيق مشاركة ملفات يستخدم المنفذ 443 نفسه. وهذا ممكن لأنه يحدد التطبيق على الطبقة 7 بدلًا من الاعتماد على رقم المنفذ وحده.

الهويات الثلاث: App-ID وUser-ID وContent-ID

يحدد App-ID التطبيق، مثل تطبيق مكالمات فيديو بعينه، حتى لو كان مخفيًا داخل HTTPS. ويربط User-ID عنوان IP بمستخدم أو مجموعة في الدليل، فتستطيع القاعدة أن تقول «مجموعة المبيعات» بدلًا من نطاق IP. ويفحص Content-ID حمولة البيانات بحثًا عن التهديدات والملفات الخبيثة وتسريب البيانات وفئات عناوين URL.

مكانه في الشبكة

يقع جدار الحماية عادةً بين موجّه الإنترنت والشبكة الداخلية، وتمر به كل حزمة تعبر بين المناطق. ووضعه في المكان الخطأ، مثل خلف جهاز NAT يخفي المصدر الحقيقي، يقلل كثيرًا من فائدة User-ID والسجلات.

الموضوع 2: التخطيط قبل الإعداد

معظم مشكلات جدران الحماية تأتي من تصميم غير واضح، لا من الجهاز نفسه. قبل فتح واجهة الويب، اكتب الشبكة التي تحميها، والحركة التي تريد السماح بها، والترتيب الذي ستبني به الإعداد.

ارسم المخطط

ارسم رابط الإنترنت وجدار الحماية والشبكة المحلية الداخلية ومنطقة DMZ التي تضم الخوادم العامة. ضع على كل واجهة اسم منطقتها وعنوان IP الخاص بها. مخطط بسيط كهذا هو أنفع وثيقة في المشروع كله، لأنه يخبرك بمكان كل قاعدة.

اكتب خطة IP والمناطق

لكل واجهة، سجّل المنطقة (مثل untrust أو trust أو dmz)، وعنوان IP والقناع، والبوابة الافتراضية، والغرض منها. احتفظ بالخطة في وثيقة واحدة. فإذا احتجت لاحقًا إلى تغيير عنوان، يصبح الأمر أسهل كثيرًا عندما تعرف القواعد وإدخالات NAT التي تعتمد عليه.

اسرد الحركة المطلوبة

اكتب كل تدفق مطلوب بلغة واضحة، مثل «يستطيع الموظفون الوصول إلى الإنترنت عبر الويب وHTTPS»، و«يستطيع الإنترنت الوصول إلى خادم الويب عبر HTTPS فقط»، و«يتصل فرع الشركة بالمقر الرئيسي عبر VPN». تصبح كل جملة قاعدة أمان واحدة، وكل ما ليس في القائمة يُرفض.

خطط للتراجع

قبل أول تغيير، احفظ نسخة من الإعداد، ودوّن كيفية استعادتها. وخطط لنافذة صيانة للتغييرات التي تؤثر في الحركة الحية، وأبلغ المستخدمين الذين سيتأثرون بها.

الموضوع 3: الوصول الأول والإعداد الأولي

يحتاج جدار الحماية الجديد إلى عنوان إدارة، وحساب مسؤول آمن، وتراخيص وتحديثات للمحتوى قبل أن يتمكن من حماية أي شيء. وتختلف أسماء القوائم بين إصدارات PAN-OS، لذلك تحقق من وثائق الإصدار الذي تستخدمه.

الاتصال بواجهة الإدارة

وصّل حاسوبًا بمنفذ الإدارة بكابل، وأعطِ الحاسوب عنوان IP في الشبكة نفسها التي توجد فيها واجهة الإدارة. افتح واجهة الويب بالعنوان المذكور في دليل المصنّع. استخدم الحساب الافتراضي مرة واحدة فقط، ثم غيّر كلمة المرور فورًا، وأنشئ حسابات مسؤولين مسماة لكل شخص.

ضبط اسم المضيف والوقت وDNS

أعطِ الجهاز اسم مضيف واضحًا، مثل fw-hq-01. واضبط المنطقة الزمنية الصحيحة وخادم NTP، لأن السجلات والشهادات تعتمد على الوقت الدقيق. واضبط خوادم DNS حتى يتمكن الجهاز من فحص التحديثات وتحويل الأسماء.

التراخيص والتحديثات والمحتوى

فعّل تراخيص الاشتراك التي اشتريتها، ثم حمّل أحدث إصدار من البرنامج، وتحديثات قواعد بيانات التهديدات والتطبيقات وURL. ثبّتها بالترتيب الذي يوصي به المصنّع، واقرأ ملاحظات الإصدار. قاعدة بيانات التهديدات القديمة سبب شائع لفوات الهجمات.

قيّد من يستطيع إدارة جدار الحماية

اسمح بالوصول الإداري فقط من شبكة فرعية مخصصة للإدارة، وأوقف الإدارة على الواجهات المواجهة للإنترنت. استخدم مصادقة قوية، وإن أمكن استخدم دليلًا خارجيًا أو عاملًا ثانيًا لتسجيل دخول المسؤولين.

إعداد الجهاز: ضبط عنوان الإدارة والوقت وحساب المسؤول

أعطِ جدار الحماية اسمًا وعنوان إدارة وبوابة، وخوادم DNS وNTP، والمنطقة الزمنية. اسمح بالإدارة من شبكة المسؤولين فقط، وأنشئ حساب superuser مسمى، واعتمد الإعداد مع وصف. ثم تحقق من معلومات النظام وحمّل آخر تحديثات المحتوى.

# PAN-OS CLI: first access, management settings and updates
configure
set deviceconfig system hostname fw-hq-01
set deviceconfig system ip-address 192.168.1.10 netmask 255.255.255.0 default-gateway 192.168.1.1
set deviceconfig system dns-setting servers primary 8.8.8.8
set deviceconfig system timezone Asia/Bangkok
set deviceconfig system ntp-servers primary-ntp-server ntp-server-addr pool.ntp.org
set deviceconfig system permitted-ip 192.168.1.0/24
set mgt-config users netadmin permissionrole superuser
set mgt-config users netadmin password
commit description "initial setup"
exit
# Operational mode: check and update content
show system info
request content upgrade check
request content upgrade download latest
request content upgrade install version latest

الموضوع 4: الواجهات والمناطق والتوجيه

الواجهة منفذ فعلي له عنوان IP. والمنطقة مجموعة مسماة من الواجهات تشترك في مستوى ثقة واحد. تُكتب سياسات الأمان بين المناطق لا بين الواجهات، لذلك تُعد المناطق أهم خيار تصميمي في جدار الحماية.

واجهات الطبقة 3

أعطِ كل منفذ بيانات عنوان IP وقناعًا وموجّهًا افتراضيًا (virtual router)، ثم اربط المنفذ بمنطقة. يحتفظ الموجّه الافتراضي بجدول التوجيه للواجهات التابعة له. والإعداد الصغير عادةً يحتاج موجّهًا افتراضيًا واحدًا فقط.

المناطق القياسية

يستخدم التصميم الشائع ثلاث مناطق. تواجه منطقة untrust الإنترنت وتُعامل بوصفها غير موثوقة. وتضم منطقة trust المستخدمين الداخليين وتُعامل بوصفها آمنة لكن غير موثوقة بالكامل. وتضم منطقة DMZ الخوادم العامة التي يحتاج الإنترنت إلى الوصول إليها، وتُفصل عن الداخل حتى لا يتمكن خادم مخترق من الوصول إلى منطقة trust بحرية.

التوجيه إلى الإنترنت والعودة منه

اضبط مسارًا افتراضيًا نحو موجّه الإنترنت، وأضف مسارات ثابتة أو بروتوكولًا ديناميكيًا للشبكات الداخلية الواقعة خلف موجّهات أخرى. تأكد من أن حركة العودة لها مسار، لأن جدار الحماية يسقط الحركة التي لا يستطيع توجيهها. واختبار سريع بـ ping من كل منطقة يُظهر إن كان التوجيه صحيحًا قبل إضافة أي سياسة.

حماية المناطق

يمكن أن تملك كل منطقة إعدادات حماية، مثل حدود الفيضانات (Flood) والمسح، توقف الهجمات الشائعة قبل فحص السياسة. فعّلها أولًا على منطقة untrust، وراقب السجلات بحثًا عن الإنذارات الخاطئة قبل أن تشدّد الإعدادات.

إعداد الجهاز: إعداد الواجهات والمناطق والمسار الافتراضي

أسند عنوانًا لكل منفذ بيانات، وضع كل منفذ في منطقته، وأضف كل المنافذ إلى virtual router. يرسل المسار الافتراضي حركة الإنترنت إلى بوابة ISP. تحقق من المسار بالأمرين show routing route وping قبل كتابة أي قاعدة أمان.

# PAN-OS CLI: interfaces, zones, virtual router and default route
configure
set network interface ethernet ethernet1/1 layer3 ip 203.0.113.2/30
set network interface ethernet ethernet1/2 layer3 ip 10.10.10.1/24
set network interface ethernet ethernet1/3 layer3 ip 172.16.10.1/24
set zone untrust network layer3 ethernet1/1
set zone trust network layer3 ethernet1/2
set zone dmz network layer3 ethernet1/3
set network virtual-router default interface [ ethernet1/1 ethernet1/2 ethernet1/3 ]
set network virtual-router default routing-table ip static-route default-route destination 0.0.0.0/0 nexthop ip-address 203.0.113.1
commit
exit
# Operational mode: check interfaces and routes
show interface all
show routing route
ping source 10.10.10.1 host 8.8.8.8

الموضوع 5: سياسة الأمان: القواعد والترتيب والرفض الافتراضي

سياسة الأمان قائمة مرتبة من القواعد. تطابق كل قاعدة منطقة المصدر ومنطقة الوجهة وعناوين المصدر والوجهة أو المستخدمين والتطبيق أو الخدمة، ثم تسمح بالحركة أو ترفضها. تُقرأ القواعد من الأعلى إلى الأسفل، وأول قاعدة تطابق هي التي تحسم الأمر.

حقول القاعدة المهمة

للقاعدة اسم، ومناطق المصدر والوجهة، وعناوين المصدر والوجهة، والمستخدمون، والتطبيقات، والخدمات (المنافذ)، وإجراء مثل السماح أو الرفض. استخدم التطبيقات بدلًا من المنافذ كلما أمكن. فالقاعدة التي تقول «تصفح الويب» أوضح وأأمن من القاعدة التي تقول «TCP port 80 and 443».

ترتيب القواعد والقواعد الافتراضية

ضع القواعد الأكثر تحديدًا أولًا، والقواعد العامة أخيرًا. يتضمن PAN-OS قواعد افتراضية في الأسفل: قاعدة intrazone default التي تسمح بالحركة داخل المنطقة الواحدة، وقاعدة interzone default التي ترفض الحركة بين المناطق. ولأن interzone default يرفض، يجب أن تضيف قاعدة سماح صريحة لكل تدفق تريد السماح به بين المناطق.

ابدأ بصرامة، ثم خفّف بالدليل

ابدأ بقاعدة ترفض وتسجل في السجل، ثم راجع السجلات لترى ما يُستخدم فعلًا، وبعدها اكتب قواعد السماح للتدفقات التي تأكدت منها. هذا يمنع خطأً شائعًا هو السماح بأكثر مما يلزم لأن القاعدة نُسخت من موقع آخر.

ملفات التعريف على الحركة المسموح بها

يمكن لقاعدة السماح أن تربط ملفات تعريف أمان، مثل مكافحة الفيروسات ومنع التهديدات، بالحركة التي تسمح بها. والسماح بتدفق دون ملفات تعريف يعني أن جدار الحماية يحدد التطبيق لكنه لا يفحص المحتوى، لذلك فعّل ملفات التعريف لأي حركة تنقل ملفات أو محتوى ويب.

إعداد الجهاز: كتابة قواعد الأمان والرفض الافتراضي

تسمح القاعدة الأولى للمكتب بتصفح الويب وتسجل كل جلسة. وتسمح القاعدة الثانية لمستخدمي الإنترنت بالوصول إلى خادم الويب في DMZ عبر عنوانه الخاص بعد NAT. وتمنع قاعدة interzone default كل ما عدا ذلك بين المناطق. انقل القواعد الأكثر تحديدًا إلى الأعلى، ثم استخدم اختبار مطابقة السياسة للتأكد.

# PAN-OS CLI: security rules (order matters; the first match wins)
configure
set rulebase security rules allow-web-out from trust to untrust source 10.10.10.0/24 destination any application [ web-browsing ssl ] service application-default action allow log-end yes
set rulebase security rules allow-web-to-dmz from untrust to dmz source any destination 172.16.10.10 application web-browsing service application-default action allow log-end yes
set rulebase default-security-rules rules interzone-default log-end yes
move rulebase security rules allow-web-out top
commit
exit
# Operational mode: check which rule a flow would match
test security-policy-match from trust to untrust source 10.10.10.20 destination 8.8.8.8 protocol 6 destination-port 443

الموضوع 6: NAT: ترجمة العناوين

يغيّر NAT عنوان المصدر أو الوجهة للحركة أثناء مرورها عبر جدار الحماية. ويحتاج المستخدمون الخارجون عادةً إلى Source NAT لمشاركة عنوان عام. ويحتاج الخوادم في DMZ عادةً إلى Destination NAT حتى يصل إليها المستخدمون الخارجيون عبر عنوان عام.

Source NAT للمكتب

يتيح Dynamic source NAT، الذي يُسمى غالبًا dynamic IP and port، لعدد كبير من المضيفين الداخليين مشاركة العنوان العام لواجهة untrust. أنشئ قاعدة NAT من منطقة trust إلى منطقة untrust، وتأكد من أن سياسة الأمان تسمح بالحركة.

Destination NAT لخادم عام

يربط Destination NAT عنوان IP عامًا ومنفذًا بعنوان الخادم الخاص. فمثلًا يمكن ربط العنوان العام 203.0.113.10 على المنفذ 443 بخادم الويب في DMZ عبر عنوانه الخاص. ويجب أن تسمح سياسة الأمان بالحركة إلى العنوان الخاص بعد الترجمة، وهذه نقطة تسبب الارتباك كثيرًا.

تحقق من الترتيب واختبر

يؤثر كل من NAT وسياسة الأمان في التدفق، لذلك راجع الترتيب في وثائق الإصدار الذي تستخدمه. وبعد كل تغيير في NAT، اختبر من عملاء حقيقيين على الجانبين، وراجع سجل الحركة لترى العنوان الأصلي والعنوان المترجم.

إعداد الجهاز: ضبط Source NAT وDestination NAT

تُترجم قاعدة الخروج عناوين المكتب إلى عنوان الواجهة الخارجية. وتربط قاعدة خادم الويب العنوان العام 203.0.113.10 على المنفذ 443 بخادم DMZ. يجب أن تسمح قاعدة الأمان أعلاه بالحركة إلى العنوان الخاص، لأن السياسة تُفحص بعد الترجمة.

# PAN-OS CLI: source NAT for the office and destination NAT for the DMZ web server
configure
set rulebase nat rules outbound-to-internet from trust to untrust source any destination any service any nat-type ipv4 to-interface ethernet1/1 source-translation dynamic-ip-and-port interface-address interface ethernet1/1
set rulebase nat rules web-server-dnat from untrust to untrust source any destination 203.0.113.10 service service-https nat-type ipv4 to-interface ethernet1/1 destination-translation translated-address 172.16.10.10 translated-port 443
commit
exit
# Operational mode: check sessions and the translated addresses
show session all filter destination 203.0.113.10

الموضوع 7: منع التهديدات وتصفية URL وفك التشفير

هنا يتجاوز NGFW العناوين والمنافذ، فملفات التعريف الأمنية وفك التشفير تفحصان ما داخل الاتصال. لكنهما تحتاجان إلى تخطيط دقيق حتى لا تتعطل الحركة المشروعة.

ملفات التعريف الأمنية الرئيسية

تفحص مكافحة الفيروسات الملفات بحثًا عن البرمجيات الخبيثة المعروفة. ويحظر Anti-spyware حركة التحكم والسيطرة من المضيفات المصابة. ويحظر Vulnerability protection محاولات استغلال الثغرات المعروفة. وتحظر URL filtering أو تحذّر من فئات المواقع. ويوقف File blocking تنزيل أو رفع أنواع معينة من الملفات. ابدأ بملف التعريف الافتراضي أو بملف أفضل الممارسات، ثم عدّله بالاعتماد على السجلات.

فك التشفير: فحص الحركة المشفرة

معظم حركة الويب مشفرة بـ TLS، ولا يستطيع جدار الحماية فحص ما لا يقرؤه. يتيح فك التشفير أن يعمل جدار الحماية كطرف موثوق، بأن يقدم شهادته الخاصة للعميل، وهذا يتطلب أن يثق العميل بجهة إصدار الشهادات الخاصة بجدار الحماية. وفك التشفير يثير أسئلة تتعلق بالخصوصية والقانون، لذلك قرر مع مالكي الشبكة أي حركة سيُفكّ تشفيرها، ووثّق القرار. وغالبًا ما تُستثنى حركة مثل الخدمات المصرفية والصحية.

إعداد الشهادات والثقة

لكي يفك جدار الحماية التشفير، يحتاج إلى شهادة forward-trust يثق بها العملاء الداخليون، ويجب أن يتعامل مع التطبيقات المثبّتة (pinned) التي ترفض الشهادة البديلة. اختبر كل قاعدة فك تشفير جديدة مع عميل تتحكم فيه، واحتفظ بقائمة استثناءات جاهزة للتطبيقات التي تتعطل.

الموضوع 8: VPN الوصول عن بُعد والتوفر العالي

يظهر هذان الموضوعان كثيرًا في الإعداد الحقيقي. فالوصول عن بُعد يتيح للموظفين الاتصال من المنزل أو أثناء السفر، والتوفر العالي يُبقي الشبكة تعمل عند تعطل أحد جداري الحماية.

مفهوم GlobalProtect VPN

GlobalProtect هو VPN الوصول عن بُعد لجدران حماية Palo Alto. تخبر البوابة (portal) العميل بالبوابة التي يجب استخدامها، وتنشئ البوابة نفقًا مشفرًا. وبعد الاتصال يكون المستخدم في منطقة أمان لها السياسات نفسها الموجودة في المكتب، ويستطيع User-ID أن يربط الجلسة بمستخدم الدليل. خطط لمجموعة IP للعملاء البعيدين حتى لا تتداخل مع الشبكات الداخلية.

VPN من موقع إلى موقع

يربط نفق IPsec من موقع إلى موقع مكتبين. ويحتاج الطرفان إلى إعدادات Phase 1 وPhase 2 متطابقة، والمفتاح المشترك نفسه أو الشهادة نفسها، ومسارات أو معرّفات proxy تغطي الشبكات الصحيحة. والنفق الذي يكون قيد التشغيل لكنه لا ينقل الحركة، يكون غالبًا مشكلة توجيه أو سياسة على أحد الطرفين.

التوفر العالي (High Availability)

يمكن أن يعمل زوج جدران الحماية في وضع active-passive، حيث يتولى الاحتياطي المهمة إذا تعطلت الوحدة النشطة، أو في وضع active-active، حيث تعالج الوحدتان الحركة. وتتزامن الوحدتان في الإعداد وجدول الجلسات عبر رابط مخصص. اختبر التحويل عند الفشل في نافذة زمنية يعرفها العمل مسبقًا، لأن زوجًا سيئ الإعداد قد يسبب انقطاعًا لم يكن جدار حماية واحد ليسببه.

الموضوع 9: الاعتماد والسجلات واستكشاف الأخطاء

لدى جدار الحماية إعداد مرشح (candidate) تعدّله، وإعداد جارٍ (running) هو الفعّال. ولا يؤثر أي تغيير تجريه في الحركة حتى تعتمده (Commit). وبعد ذلك تُظهر السجلات والأدوات المدمجة ما إذا كان التغيير يعمل.

المرشح والجاري والاعتماد

تُكتب التغييرات في الإعداد المرشح. والاعتماد (Commit) يجعلها فعّالة، ويمكنك معاينة التغييرات قبل الاعتماد. احفظ إعدادًا مسمى قبل أي تغيير كبير، حتى تستطيع الرجوع إليه إذا حدث خطأ. واكتب وصفًا واضحًا عند كل اعتماد، ليشرح سجل التدقيق كل تغيير.

سجلات الحركة والتهديدات

تُظهر سجلات الحركة كل جلسة مع المصدر والوجهة والتطبيق والمستخدم واسم القاعدة والإجراء. وتُظهر سجلات التهديدات التطابقات مع ملفات التعريف الأمنية. وعندما يقول مستخدم إن موقعًا محظور، ابحث عن عنوان IP الخاص به في سجل الحركة، ثم ابحث عن القاعدة التي طابقت، وتحقق هل السبب القاعدة أم ملف التعريف أم فئة URL.

ترتيب استكشاف الأخطاء

اتبع الترتيب نفسه الذي تسلكه الحركة: هل الرابط يعمل؟ هل يوجد مسار؟ هل NAT صحيح؟ هل تطابق قاعدة أمان؟ وهل تحجب ملفات التعريف الحركة؟ يمكن لأوامر test في CLI أن تبيّن القاعدة التي سيطابقها تدفق معين، ويُظهر التقاط الحزم ما يخرج ويصل على كل واجهة.

المراقبة والتقارير

استخدم لوحات المتابعة والتقارير المجدولة والتنبيهات للتهديدات الخطيرة، وأنفاق VPN الفاشلة، وأخطاء الواجهات. راجع السجلات بانتظام، لا عندما يحدث عطل فقط، لأن معظم الهجمات تظهر في السجلات قبل أن تسبب ضررًا.

إعداد الجهاز: الحفظ والاعتماد والتراجع بأمان

اعرض الفروق المعلقة قبل الاعتماد، واحفظ نسخة مسمّاة، واعتمد مع وصف يظهر في سجل التدقيق. إذا كسر تغيير الحركة، فحمّل النسخة المحفوظة وأعد الاعتماد. واقرأ سجل الحركة لتتأكد مما تسمح به القواعد وما ترفضه.

# PAN-OS CLI: review changes, save a named configuration, commit with a description, roll back
configure
show config diff
save config to before-web-change
commit description "allow web from office, NAT for the DMZ web server"
exit
# Later, if the change causes a problem: load the saved version, check it, then commit
configure
load config from before-web-change
commit description "rollback: web change"
exit
# Operational mode: read the logs
show log traffic

التدرب في المختبر

تأتي مهارات جدار الحماية من الممارسة، لذلك ابنِ مختبرًا صغيرًا فيه ثلاث شبكات: جانب الإنترنت، وشبكة المكتب المحلية، وDMZ فيه خادم ويب. استخدم صورة مختبر أو محاكيًا من المصنّع إن توفر، واتبع هذه الخطوات بالترتيب.

1. ارسم المخطط، واكتب خطة IP والمناطق للشبكات الثلاث.

2. اضبط الوصول الإداري، وغيّر كلمة المرور الافتراضية، وأنشئ حساب مسؤول مسمى.

3. اضبط الواجهات الثلاث، واربط كل واحدة بمنطقتها، وأضف المسار الافتراضي والمسارات إلى الشبكات الداخلية.

4. تحقق من الاتصال بـ ping من كل منطقة قبل إضافة أي سياسة أمان.

5. أضف قاعدة تسمح للمكتب بالوصول إلى الإنترنت عبر الويب، واضبط الرفض الافتراضي لكل ما عدا ذلك.

6. أضف Destination NAT ليصل الإنترنت إلى خادم الويب في DMZ من جهة untrust، وأضف قاعدة الأمان المطابقة.

7. اربط ملف تعريف منع التهديدات بالقواعد المسموح بها، ثم تحقق من التطابقات في السجلات.

8. اعتمد الإعداد، واختبر كل تدفق، ثم ارجع إلى الإعداد المحفوظ للتأكد من أن التراجع يعمل.

الخطوات التالية

بعد الإعداد، تدرّب على استكشاف الأخطاء المبني على السياسات حتى تجد التدفق المحظور في دقائق، ثم ادرس GlobalProtect وVPN من موقع إلى موقع، ثم التوفر العالي. وسجّل كل تغيير تعتمده. فمعظم الانقطاعات تأتي من تغيير غير موثّق، لا من قاعدة واحدة خاطئة.

الخلاصة

يحدد Palo Alto NGFW التطبيقات والمستخدمين والمحتوى، لا المنافذ والعناوين فقط. ويبدأ الإعداد الجيد بمخطط للمفهوم، وخطة للمناطق وIP، وقائمة بالحركة المطلوبة. ثم تأتي إعدادات الإدارة، والواجهات والمناطق، وسياسات مرتبة فيها سماح صريح لكل تدفق، وNAT للحركة الخارجة والخوادم العامة، وملفات تعريف للفحص. اعتمد الإعداد بتروٍّ، واقرأ السجلات، واحتفظ دائمًا بخطة للتراجع.