Palo Alto Next-Generation Firewall: Konsep Pengaturan dari Zona sampai Kebijakan Keamanan

Next-generation firewall (NGFW) Palo Alto Networks melakukan lebih dari sekadar membuka dan menutup port. Ia mengidentifikasi aplikasi di balik sebuah koneksi, pengguna yang memulainya, dan isi di dalamnya, lalu menerapkan kebijakan untuk masing-masing. Artikel ini menjelaskan pengaturannya sesuai urutan yang akan Anda temui: merencanakan jaringan, akses pertama, antarmuka dan zona, kebijakan keamanan, NAT, profil keamanan, dekripsi, akses jarak jauh, dan pemantauan. Setiap bagian memiliki diagram atau daftar periksa, sehingga Anda bisa mengikuti desainnya sebelum menyentuh perangkat.

Yang Anda butuhkan

Anda sebaiknya memahami pengalamatan IP dasar dan subnetting, serta fungsi router dan switch. Akan membantu jika Anda sudah membaca artikel tingkat CCNA di situs ini. Anda memerlukan perangkat lab atau uji, atau setidaknya simulator atau image lab Palo Alto yang disediakan vendor, untuk berlatih. Kerjakan hanya pada perangkat yang Anda miliki atau yang Anda berwenang untuk mengonfigurasinya, dan jangan pernah mengubah firewall produksi tanpa rencana tertulis dan jalur pengembalian.

Ilustrasi

Topik 1: Apa yang dilakukan next-generation firewall

Firewall tradisional memutuskan berdasarkan alamat IP sumber dan tujuan serta nomor port. Itu tidak lagi cukup, karena banyak aplikasi, seperti browser web dan panggilan video, memakai port 443 atau port umum lainnya. NGFW membaca lalu lintasnya sendiri dan memutuskan berdasarkan apa lalu lintas itu, siapa yang mengirimnya, dan apa yang dibawanya.

Firewall tradisional versus NGFW

Firewall stateless atau berbasis port akan mengizinkan semua lalu lintas pada port 443. NGFW dapat mengizinkan browser web ke situs berita dan memblokir aplikasi berbagi berkas yang juga memakai port 443. Ini mungkin karena ia mengidentifikasi aplikasi di lapisan 7, alih-alih hanya mempercayai nomor port.

Tiga identitas: App-ID, User-ID, Content-ID

App-ID mengidentifikasi aplikasi, misalnya aplikasi panggilan video tertentu, bahkan ketika ia bersembunyi di dalam HTTPS. User-ID memetakan alamat IP ke pengguna atau grup direktori, sehingga aturan bisa berbunyi 'grup sales' alih-alih rentang IP. Content-ID memeriksa payload untuk ancaman, berkas berbahaya, kebocoran data, dan kategori URL.

Posisinya di jaringan

Firewall biasanya berada di antara router internet dan jaringan internal. Setiap paket yang melintas antarzona akan melewatinya. Menempatkannya di lokasi yang salah, misalnya di belakang perangkat NAT yang menyembunyikan sumber sebenarnya, membuat User-ID dan log jauh kurang berguna.

Topik 2: Merencanakan pengaturan sebelum mengonfigurasi

Sebagian besar masalah firewall berasal dari desain yang tidak jelas, bukan dari perangkatnya. Sebelum membuka antarmuka web, tuliskan jaringan yang Anda lindungi, lalu lintas yang ingin Anda izinkan, dan urutan saat Anda membangunnya.

Gambar konsepnya

Gambar tautan internet, firewall, LAN internal, dan DMZ dengan server publik. Beri label setiap antarmuka dengan zonanya dan alamat IP-nya. Diagram sederhana seperti ini adalah dokumen paling berguna dalam seluruh proyek, karena ia memberi tahu Anda di mana setiap aturan seharusnya berada.

Tulis rencana IP dan zona

Untuk setiap antarmuka, catat zonanya (misalnya untrust, trust, dmz), alamat IP dan mask, default gateway, dan tujuannya. Simpan rencana dalam satu dokumen. Mengubah alamat di kemudian hari jauh lebih mudah jika Anda tahu aturan dan entri NAT mana yang bergantung padanya.

Daftar lalu lintas yang dibutuhkan

Tulis setiap alur yang diperlukan dalam bahasa sehari-hari: 'staf bisa mengakses internet lewat web dan HTTPS', 'internet bisa mengakses server web hanya lewat HTTPS', 'kantor cabang tersambung ke kantor pusat lewat VPN'. Setiap kalimat menjadi satu aturan keamanan, dan apa pun yang tidak ada dalam daftar akan ditolak.

Rencanakan pengembalian

Sebelum perubahan pertama, simpan salinan konfigurasi dan catat cara memulihkannya. Rencanakan jendela pemeliharaan untuk perubahan yang memengaruhi lalu lintas aktif, dan beri tahu pengguna yang akan terdampak.

Topik 3: Akses pertama dan pengaturan awal

Firewall baru memerlukan alamat manajemen, akun admin yang aman, serta lisensi dan pembaruan konten sebelum bisa melindungi apa pun. Nama menu yang tepat berbeda antarversi PAN-OS, jadi periksa dokumentasi untuk versi Anda.

Terhubung ke antarmuka manajemen

Hubungkan komputer ke port manajemen dengan kabel, dan beri komputer alamat di jaringan yang sama dengan antarmuka manajemen. Buka antarmuka web dengan alamat yang tercantum di panduan vendor. Gunakan akun default hanya sekali, lalu segera ganti kata sandinya dan buat akun admin bernama untuk setiap orang.

Atur hostname, waktu, dan DNS

Beri perangkat nama host yang jelas, misalnya fw-hq-01. Atur zona waktu yang benar dan server NTP, karena log dan sertifikat bergantung pada waktu yang akurat. Atur server DNS agar perangkat bisa memeriksa pembaruan dan menerjemahkan nama.

Lisensi, pembaruan, dan konten

Aktifkan lisensi langganan yang sudah Anda beli, lalu unduh versi perangkat lunak terbaru serta pembaruan database ancaman, aplikasi, dan URL. Pasang dalam urutan yang direkomendasikan vendor, dan baca catatan rilisnya. Database ancaman yang sudah usang adalah penyebab umum serangan terlewat.

Batasi siapa yang bisa mengelola firewall

Izinkan akses manajemen hanya dari subnet admin khusus, dan matikan manajemen pada antarmuka yang menghadap internet. Gunakan autentikasi yang kuat, dan jika memungkinkan gunakan direktori eksternal atau faktor kedua untuk login admin.

Konfigurasi perangkat: atur alamat manajemen, waktu, dan akun admin

Beri firewall sebuah nama, alamat manajemen dan gateway, server DNS dan NTP, serta zona waktu. Izinkan manajemen hanya dari subnet admin, buat superuser bernama, dan commit dengan deskripsi. Lalu periksa informasi sistem dan unduh pembaruan konten terbaru.

# CLI PAN-OS: akses pertama, pengaturan manajemen, dan pembaruan
configure
set deviceconfig system hostname fw-hq-01
set deviceconfig system ip-address 192.168.1.10 netmask 255.255.255.0 default-gateway 192.168.1.1
set deviceconfig system dns-setting servers primary 8.8.8.8
set deviceconfig system timezone Asia/Bangkok
set deviceconfig system ntp-servers primary-ntp-server ntp-server-addr pool.ntp.org
set deviceconfig system permitted-ip 192.168.1.0/24
set mgt-config users netadmin permissionrole superuser
set mgt-config users netadmin password
commit description "initial setup"
exit
# Mode operasional: periksa dan perbarui konten
show system info
request content upgrade check
request content upgrade download latest
request content upgrade install version latest

Topik 4: Antarmuka, zona, dan routing

Antarmuka adalah port fisik dengan alamat. Zona adalah kelompok antarmuka yang bernama dan memiliki tingkat kepercayaan yang sama. Kebijakan keamanan ditulis di antara zona, bukan di antara antarmuka, jadi zona adalah pilihan desain paling penting dalam firewall.

Antarmuka layer 3

Beri setiap port data alamat IP, mask, dan virtual router, lalu tetapkan port itu ke sebuah zona. Virtual router menyimpan tabel routing untuk antarmuka yang menjadi miliknya. Pengaturan kecil biasanya hanya memerlukan satu virtual router.

Zona standar

Desain umum memakai tiga zona. Zona untrust menghadap internet dan diperlakukan sebagai musuh. Zona trust berisi pengguna internal dan diperlakukan sebagai aman, tetapi tidak sepenuhnya dipercaya. DMZ berisi server publik yang harus dijangkau dari internet, dan dipisahkan agar server yang disusupi tidak bisa bebas menjangkau zona trust.

Routing ke internet dan kembali

Atur rute default menuju router internet, dan tambahkan rute statis atau protokol dinamis untuk jaringan internal yang berada di belakang router lain. Pastikan lalu lintas balasan memiliki rute kembali, karena firewall membuang lalu lintas yang tidak bisa di-routing. Tes cepat dengan ping dari setiap zona menunjukkan apakah routing sudah benar sebelum kebijakan apa pun ditambahkan.

Proteksi zona

Setiap zona bisa memiliki pengaturan proteksi, seperti batas untuk banjir dan pemindaian, yang menghentikan serangan umum sebelum kebijakan diperiksa. Aktifkan pada zona untrust terlebih dulu, dan pantau log untuk false positive sebelum membuatnya lebih ketat.

Konfigurasi perangkat: atur antarmuka, zona, dan rute default

Tetapkan alamat ke setiap port data, masukkan setiap port ke zonanya, dan tambahkan semua port ke virtual router. Rute default mengirim lalu lintas internet ke gateway ISP. Gunakan show routing route dan ping untuk memeriksa rute sebelum Anda menulis aturan keamanan apa pun.

# CLI PAN-OS: antarmuka, zona, virtual router, dan rute default
configure
set network interface ethernet ethernet1/1 layer3 ip 203.0.113.2/30
set network interface ethernet ethernet1/2 layer3 ip 10.10.10.1/24
set network interface ethernet ethernet1/3 layer3 ip 172.16.10.1/24
set zone untrust network layer3 ethernet1/1
set zone trust network layer3 ethernet1/2
set zone dmz network layer3 ethernet1/3
set network virtual-router default interface [ ethernet1/1 ethernet1/2 ethernet1/3 ]
set network virtual-router default routing-table ip static-route default-route destination 0.0.0.0/0 nexthop ip-address 203.0.113.1
commit
exit
# Mode operasional: periksa antarmuka dan rute
show interface all
show routing route
ping source 10.10.10.1 host 8.8.8.8

Topik 5: Kebijakan keamanan: aturan, urutan, dan default deny

Kebijakan keamanan adalah daftar aturan yang berurutan. Setiap aturan mencocokkan zona sumber, zona tujuan, alamat atau pengguna sumber dan tujuan, aplikasi atau layanan, lalu mengizinkan atau menolak lalu lintas. Aturan dibaca dari atas ke bawah, dan kecocokan pertama yang menentukan.

Kolom aturan yang penting

Sebuah aturan memiliki nama, zona sumber dan tujuan, alamat sumber dan tujuan, pengguna, aplikasi, layanan (port), dan aksi seperti allow atau deny. Gunakan aplikasi alih-alih port kapan pun memungkinkan. Aturan yang berbunyi 'web browsing' lebih jelas dan lebih aman daripada aturan yang berbunyi 'TCP port 80 dan 443'.

Urutan aturan dan aturan default

Letakkan aturan yang paling spesifik di atas dan aturan yang luas di bawah. PAN-OS menyertakan aturan default di bagian bawah: default intrazone yang mengizinkan lalu lintas di dalam satu zona, dan default interzone yang menolak lalu lintas antarzona. Karena default interzone menolak, Anda harus menambahkan allow eksplisit untuk setiap alur yang ingin diizinkan antarzona.

Mulai ketat, lalu longgarkan dengan bukti

Mulailah dengan aturan yang menolak dan mencatat, periksa log untuk melihat apa yang benar-benar dipakai, lalu tulis aturan allow untuk alur yang sudah Anda pastikan. Ini mencegah kesalahan umum yaitu mengizinkan terlalu banyak karena sebuah aturan disalin dari situs lain.

Profil pada lalu lintas yang diizinkan

Aturan allow bisa menyertakan profil keamanan, seperti antivirus dan threat prevention, pada lalu lintas yang diizinkannya. Mengizinkan alur tanpa profil berarti firewall mengidentifikasi aplikasinya tetapi tidak memeriksa isinya, jadi aktifkan profil untuk setiap lalu lintas yang membawa berkas atau konten web.

Konfigurasi perangkat: tulis aturan keamanan dan default deny

Aturan pertama mengizinkan kantor menjelajah web dan mencatat setiap sesi. Aturan kedua memungkinkan pengguna internet mencapai server web DMZ melalui alamat privatnya setelah NAT. Aturan default interzone menolak semua yang lain antarzona. Pindahkan aturan yang paling spesifik ke atas, lalu gunakan uji policy match untuk memastikan.

# CLI PAN-OS: aturan keamanan (urutan penting; kecocokan pertama yang menang)
configure
set rulebase security rules allow-web-out from trust to untrust source 10.10.10.0/24 destination any application [ web-browsing ssl ] service application-default action allow log-end yes
set rulebase security rules allow-web-to-dmz from untrust to dmz source any destination 172.16.10.10 application web-browsing service application-default action allow log-end yes
set rulebase default-security-rules rules interzone-default log-end yes
move rulebase security rules allow-web-out top
commit
exit
# Mode operasional: periksa aturan mana yang akan cocok dengan sebuah alur
test security-policy-match from trust to untrust source 10.10.10.20 destination 8.8.8.8 protocol 6 destination-port 443

Topik 6: NAT: menerjemahkan alamat

NAT mengubah alamat sumber atau tujuan lalu lintas saat melewati firewall. Pengguna keluar biasanya memerlukan source NAT agar bisa berbagi alamat publik. Server di DMZ biasanya memerlukan destination NAT agar pengguna luar bisa mengaksesnya lewat alamat publik.

Source NAT untuk kantor

Dynamic source NAT, yang sering disebut dynamic IP and port, memungkinkan banyak host internal berbagi alamat publik antarmuka untrust. Buat aturan NAT dari zona trust ke zona untrust, dan pastikan kebijakan keamanan mengizinkan lalu lintasnya.

Destination NAT untuk server publik

Destination NAT memetakan alamat dan port IP publik ke alamat server privat. Misalnya, alamat publik 203.0.113.10 port 443 dapat dipetakan ke server web di DMZ pada alamat privatnya. Kebijakan keamanan harus mengizinkan lalu lintas ke alamat privat setelah terjemahan, dan ini sering menjadi sumber kebingungan.

Periksa urutan dan uji

NAT dan kebijakan keamanan sama-sama memengaruhi suatu alur, jadi periksa urutannya di dokumentasi untuk versi Anda. Setelah setiap perubahan NAT, uji dari klien sungguhan di kedua sisi, dan periksa log lalu lintas untuk melihat alamat asli dan alamat hasil terjemahan.

Konfigurasi perangkat: atur source NAT dan destination NAT

Aturan outbound menerjemahkan alamat kantor ke alamat antarmuka luar. Aturan server web memetakan alamat publik 203.0.113.10 port 443 ke server DMZ. Aturan keamanan di atas harus mengizinkan lalu lintas ke alamat privat, karena kebijakan diperiksa setelah terjemahan.

# CLI PAN-OS: source NAT untuk kantor dan destination NAT untuk server web DMZ
configure
set rulebase nat rules outbound-to-internet from trust to untrust source any destination any service any nat-type ipv4 to-interface ethernet1/1 source-translation dynamic-ip-and-port interface-address interface ethernet1/1
set rulebase nat rules web-server-dnat from untrust to untrust source any destination 203.0.113.10 service service-https nat-type ipv4 to-interface ethernet1/1 destination-translation translated-address 172.16.10.10 translated-port 443
commit
exit
# Mode operasional: periksa sesi dan alamat hasil terjemahan
show session all filter destination 203.0.113.10

Topik 7: Threat prevention, filter URL, dan dekripsi

Profil keamanan dan dekripsi adalah tempat NGFW melampaui alamat dan port. Keduanya memeriksa apa yang ada di dalam koneksi, tetapi keduanya juga memerlukan perencanaan yang cermat agar lalu lintas yang sah tidak rusak.

Profil keamanan utama

Antivirus memindai berkas untuk malware yang sudah dikenal. Anti-spyware memblokir lalu lintas command-and-control dari host yang terinfeksi. Vulnerability protection memblokir upaya mengeksploitasi kelemahan yang sudah diketahui. URL filtering memblokir atau memberi peringatan pada kategori situs web. File blocking menghentikan jenis berkas tertentu agar tidak bisa diunduh atau diunggah. Mulailah dengan profil default atau praktik terbaik, lalu sesuaikan dengan log.

Dekripsi: memeriksa lalu lintas terenkripsi

Sebagian besar lalu lintas web dienkripsi dengan TLS, dan firewall tidak bisa memeriksa apa yang tidak bisa dibacanya. Dekripsi memungkinkan firewall bertindak sebagai pihak tepercaya dengan menyajikan sertifikatnya sendiri kepada klien, yang mengharuskan klien mempercayai certificate authority firewall. Dekripsi menimbulkan pertanyaan privasi dan hukum, jadi putuskan bersama pemilik jaringan lalu lintas mana yang akan didekripsi, dan dokumentasikan keputusannya. Beberapa lalu lintas, seperti layanan perbankan dan kesehatan, sering dikecualikan.

Pengaturan sertifikat dan kepercayaan

Untuk dekripsi, firewall memerlukan sertifikat forward-trust yang dipercaya klien internal, dan ia harus menangani aplikasi yang di-pin dan menolak sertifikat pengganti. Uji setiap aturan dekripsi baru dengan klien yang Anda kendalikan, dan siapkan daftar pengecualian untuk aplikasi yang rusak.

Topik 8: VPN akses jarak jauh dan high availability

Dua fitur ini sering muncul dalam pengaturan sungguhan. Akses jarak jauh memungkinkan staf terhubung dari rumah atau saat bepergian, dan high availability menjaga jaringan tetap berjalan ketika salah satu firewall gagal.

Konsep VPN GlobalProtect

GlobalProtect adalah VPN akses jarak jauh untuk firewall Palo Alto. Portal memberi tahu klien gateway mana yang harus dipakai, dan gateway membuat terowongan terenkripsi. Setelah terhubung, pengguna berada di zona keamanan dengan kebijakan yang sama seperti di kantor, dan User-ID dapat mengaitkan sesi dengan pengguna direktori. Rencanakan IP pool untuk klien jarak jauh agar tidak tumpang tindih dengan jaringan internal.

VPN site-to-site

Terowongan IPsec site-to-site menghubungkan dua kantor. Kedua sisi memerlukan pengaturan fase 1 dan fase 2 yang cocok, pre-shared key atau sertifikat yang sama, serta rute atau proxy ID yang mencakup jaringan yang tepat. Terowongan yang aktif tetapi tidak melewatkan lalu lintas hampir selalu merupakan masalah routing atau kebijakan di salah satu sisi.

High availability

Sepasang firewall bisa berjalan dalam mode active-passive, di mana standby mengambil alih jika unit aktif gagal, atau dalam mode active-active, di mana keduanya memproses lalu lintas. Kedua unit menyinkronkan konfigurasi dan tabel sesi melalui tautan khusus. Uji failover dalam jendela waktu ketika pihak bisnis sudah diberi tahu, karena pasangan yang dikonfigurasi dengan buruk bisa menyebabkan gangguan yang tidak akan terjadi pada satu firewall saja.

Topik 9: Commit, log, dan pemecahan masalah

Firewall memiliki konfigurasi kandidat, yang Anda edit, dan konfigurasi running, yang aktif. Tidak ada perubahan yang memengaruhi lalu lintas sampai Anda melakukan commit. Log dan alat bawaan kemudian menunjukkan apakah perubahan itu berhasil.

Kandidat, running, dan commit

Perubahan ditulis ke konfigurasi kandidat. Commit membuatnya aktif, dan Anda bisa melihat pratinjau perubahan sebelum commit. Simpan konfigurasi yang diberi nama sebelum perubahan besar, sehingga Anda bisa kembali ke sana jika ada yang salah. Lakukan commit dengan deskripsi yang jelas agar audit log menjelaskan setiap perubahan.

Log lalu lintas dan ancaman

Log lalu lintas menampilkan setiap sesi dengan sumber, tujuan, aplikasi, pengguna, nama aturan, dan aksi. Log ancaman menampilkan kecocokan dengan profil keamanan. Ketika pengguna mengatakan sebuah situs diblokir, cari IP mereka di log lalu lintas, temukan aturan yang cocok, lalu periksa apakah aturan, profil, atau kategori URL yang menyebabkan pemblokiran.

Urutan pemecahan masalah

Ikuti urutan yang sama dengan jalannya lalu lintas: apakah tautan aktif, apakah rute ada, apakah NAT benar, apakah aturan keamanan cocok, dan apakah profil memblokirnya. Perintah Test di CLI dapat menunjukkan aturan mana yang akan cocok dengan sebuah alur, dan packet capture menunjukkan apa yang keluar dan masuk di setiap antarmuka.

Pemantauan dan pelaporan

Gunakan dashboard, laporan terjadwal, dan peringatan untuk ancaman kritis, terowongan VPN yang gagal, dan error antarmuka. Tinjau log secara berkala, bukan hanya ketika ada yang rusak, karena sebagian besar serangan terlihat di log sebelum menyebabkan kerusakan.

Konfigurasi perangkat: simpan, commit, dan kembalikan dengan aman

Tampilkan perbedaan yang tertunda sebelum commit, simpan versi yang diberi nama, dan commit dengan deskripsi yang bisa ditampilkan audit log. Jika perubahan merusak lalu lintas, muat versi yang tersimpan dan commit lagi. Baca log lalu lintas untuk memastikan apa yang diizinkan dan ditolak aturan.

# CLI PAN-OS: tinjau perubahan, simpan konfigurasi yang diberi nama, commit dengan deskripsi, kembalikan
configure
show config diff
save config to before-web-change
commit description "allow web from office, NAT for the DMZ web server"
exit
# Nanti, jika perubahan menimbulkan masalah: muat versi yang tersimpan, periksa, lalu commit
configure
load config from before-web-change
commit description "rollback: web change"
exit
# Mode operasional: baca log
show log traffic

Praktik di laboratorium

Keterampilan firewall datang dari praktik, jadi bangun lab kecil dengan tiga jaringan: sisi internet, LAN kantor, dan DMZ dengan server web. Gunakan image lab atau simulator dari vendor jika tersedia, dan kerjakan langkah-langkah ini secara berurutan.

1. Gambar konsepnya dan tulis rencana IP serta zona untuk ketiga jaringan.

2. Atur akses manajemen, ganti kata sandi default, dan buat akun admin bernama.

3. Konfigurasikan ketiga antarmuka, tetapkan setiap antarmuka ke zonanya, lalu tambahkan rute default dan rute untuk jaringan internal.

4. Periksa konektivitas dengan ping dari setiap zona sebelum menambahkan kebijakan keamanan apa pun.

5. Tambahkan aturan keamanan yang mengizinkan kantor mengakses internet lewat lalu lintas web, dan default deny untuk yang lain.

6. Tambahkan destination NAT agar server web DMZ bisa dijangkau dari sisi untrust, lalu tambahkan aturan keamanan yang cocok.

7. Lampirkan profil threat prevention pada aturan yang diizinkan, lalu periksa log untuk kecocokan.

8. Lakukan commit, uji setiap alur, dan kembali ke konfigurasi yang disimpan untuk memastikan pengembalian berfungsi.

Langkah berikutnya

Setelah pengaturan, pelajari alur pemecahan masalah berbasis kebijakan sampai Anda bisa menemukan alur yang diblokir dalam hitungan menit, lalu pelajari GlobalProtect dan VPN site-to-site, kemudian high availability. Simpan catatan perubahan untuk setiap commit. Sebagian besar gangguan berasal dari perubahan yang tidak tercatat, bukan dari satu aturan yang buruk.

Ringkasan

NGFW Palo Alto mengidentifikasi aplikasi, pengguna, dan konten, bukan hanya port dan alamat. Pengaturan yang baik dimulai dengan diagram konsep, rencana zona dan IP, serta daftar alur yang dibutuhkan. Setelah itu datang pengaturan manajemen, antarmuka dan zona, aturan keamanan yang berurutan dengan allow eksplisit untuk setiap alur, NAT untuk keluar dan server publik, serta profil untuk inspeksi. Lakukan commit dengan sengaja, baca log, dan simpan rencana pengembalian.