Palo Alto Next-Generation Firewall: แนวคิดการตั้งค่าตั้งแต่โซนจนถึงนโยบายความปลอดภัย

Firewall รุ่น Next-Generation ของ Palo Alto Networks ทำมากกว่าการเปิดหรือปิดพอร์ต มันระบุว่าการเชื่อมต่อแต่ละครั้งเป็นแอปพลิเคชันอะไร ใครเป็นคนเริ่ม และเนื้อหาข้างในคืออะไร แล้วใช้นโยบายกับแต่ละอย่างนี้ บทความนี้อธิบายการตั้งค่าตามลำดับที่คุณจะพบ ได้แก่ การวางแผนเครือข่าย การเข้าถึงครั้งแรก อินเทอร์เฟซและโซน นโยบายความปลอดภัย NAT โปรไฟล์ความปลอดภัย การถอดรหัส การเข้าถึงจากระยะไกล และการเฝ้าดู แต่ละส่วนมีแผนภาพหรือเช็กลิสต์ ให้คุณทำตามแนวคิดการออกแบบได้ก่อนจะแตะอุปกรณ์

สิ่งที่ต้องเตรียม

ควรรู้พื้นฐาน IP แอดเดรสและซับเน็ต และรู้ว่าเราเตอร์กับสวิตช์ทำอะไร ควรอ่านบทความระดับ CCNA ในเว็บนี้ก่อนจะช่วยได้มาก การฝึกต้องมีแล็บหรืออุปกรณ์ทดสอบ หรืออย่างน้อยก็อิมเมจแล็บหรือซิมูเลเตอร์ที่ผู้ผลิตให้ ทำกับอุปกรณ์ที่คุณเป็นเจ้าของหรือได้รับอนุญาตให้ตั้งค่าเท่านั้น และอย่าเปลี่ยนค่า firewall ในระบบใช้งานจริงโดยไม่มีแผนที่เขียนไว้และแผนย้อนกลับ

ภาพประกอบ

หัวข้อที่ 1: Next-Generation Firewall ทำอะไรได้บ้าง

Firewall แบบดั้งเดิมตัดสินจากแอดเดรสต้นทางและปลายทาง กับหมายเลขพอร์ต ซึ่งไม่เพียงพออีกต่อไป เพราะแอปพลิเคชันจำนวนมาก เช่น เว็บเบราว์เซอร์และการโทรวิดีโอ ใช้พอร์ต 443 หรือพอร์ตที่พบบ่อยอื่น ๆ NGFW อ่านทราฟฟิกเองและตัดสินจากสิ่งที่ทราฟฟิกเป็น ใครส่ง และบรรจุอะไรอยู่

Firewall แบบดั้งเดิมเทียบกับ NGFW

Firewall ที่ดูแค่พอร์ตจะอนุญาตทุกอย่างบนพอร์ต 443 แต่ NGFW สามารถอนุญาตให้เบราว์เซอร์เข้าเว็บข่าวได้ และบล็อกแอปแชร์ไฟล์ที่ใช้พอร์ต 443 เหมือนกัน ทำได้เพราะมันระบุแอปพลิเคชันที่ชั้น 7 แทนที่จะเชื่อหมายเลขพอร์ตเพียงอย่างเดียว

ตัวระบุสามอย่าง: App-ID, User-ID, Content-ID

App-ID ระบุแอปพลิเคชัน เช่น แอปโทรวิดีโอตัวใดตัวหนึ่ง แม้ซ่อนอยู่ในทราฟฟิก HTTPS User-ID จับคู่ IP แอดเดรสกับผู้ใช้หรือกลุ่มในไดเรกทอรี ทำให้กฎเขียนว่า 'กลุ่มฝ่ายขาย' แทนที่จะเป็นช่วง IP Content-ID ตรวจเนื้อหาของแพ็กเก็ตหาภัยคุกคาม ไฟล์อันตราย การรั่วไหลของข้อมูล และหมวดหมู่ URL

ตำแหน่งในเครือข่าย

Firewall มักวางอยู่ระหว่างเราเตอร์อินเทอร์เน็ตกับเครือข่ายภายใน แพ็กเก็ตทุกตัวที่ข้ามระหว่างโซนจะผ่านมัน ถ้าวางผิดที่ เช่น อยู่หลังอุปกรณ์ NAT ที่ซ่อนต้นทางจริง User-ID และล็อกจะมีประโยชน์น้อยลงมาก

หัวข้อที่ 2: วางแผนก่อนตั้งค่า

ปัญหาของ firewall ส่วนใหญ่มาจากการออกแบบที่ไม่ชัดเจน ไม่ใช่จากตัวอุปกรณ์ ก่อนเปิดหน้าเว็บ ให้เขียนไว้ว่าคุณกำลังปกป้องเครือข่ายอะไร ต้องการอนุญาตทราฟฟิกอะไร และจะสร้างตามลำดับใด

วาดแนวคิดการเชื่อมต่อ

วาดลิงก์อินเทอร์เน็ต firewall LAN ภายใน และ DMZ ที่มีเซิร์ฟเวอร์สาธารณะ ติดป้ายแต่ละอินเทอร์เฟซด้วยโซนและ IP แอดเดรส แผนภาพง่าย ๆ แบบนี้คือเอกสารที่มีประโยชน์ที่สุดของโปรเจกต์ เพราะบอกว่ากฎแต่ละข้อควรอยู่ตรงไหน

เขียนแผน IP และโซน

สำหรับแต่ละอินเทอร์เฟซ บันทึกโซน (เช่น untrust, trust, dmz) IP แอดเดรสและมาสก์ default gateway และหน้าที่ เก็บแผนไว้ในเอกสารเดียว เมื่อต้องเปลี่ยนแอดเดรสในภายหลัง จะง่ายขึ้นมากถ้ารู้ว่ากฎและรายการ NAT ใดต้องพึ่งพามัน

ลิสต์ทราฟฟิกที่ต้องใช้

เขียนแต่ละการไหลของทราฟฟิกเป็นภาษาธรรมดา เช่น 'พนักงานเข้าอินเทอร์เน็ตได้ทางเว็บและ HTTPS' 'อินเทอร์เน็ตเข้าเว็บเซิร์ฟเวอร์ได้เฉพาะ HTTPS' 'สาขาเชื่อมกับสำนักงานใหญ่ผ่าน VPN' ทุกประโยคจะกลายเป็นหนึ่งกฎความปลอดภัย และสิ่งที่ไม่อยู่ในลิสต์จะถูกปฏิเสธ

วางแผนการย้อนกลับ

ก่อนการเปลี่ยนแปลงครั้งแรก ให้บันทึกสำเนาคอนฟิกและจดวิธีกู้คืน วางแผนช่วงเวลาบำรุงรักษาสำหรับการเปลี่ยนที่กระทบทราฟฟิกที่ใช้งานอยู่ และแจ้งผู้ใช้ที่จะได้รับผลกระทบ

หัวข้อที่ 3: การเข้าถึงครั้งแรกและการตั้งค่าเริ่มต้น

Firewall ใหม่ต้องมีแอดเดรสสำหรับการจัดการ บัญชีแอดมินที่ปลอดภัย และไลเซนส์กับการอัปเดตเนื้อหา ก่อนจะป้องกันอะไรได้ ชื่อเมนูแตกต่างกันตามเวอร์ชัน PAN-OS จึงควรตรวจกับเอกสารของเวอร์ชันที่คุณใช้

เชื่อมต่อพอร์ตการจัดการ

เชื่อมคอมพิวเตอร์เข้ากับพอร์ต management ด้วยสาย แล้วให้คอมพิวเตอร์มี IP แอดเดรสในเครือข่ายเดียวกับอินเทอร์เฟซนั้น เปิดหน้าเว็บด้วยแอดเดรสที่ระบุในคู่มือของผู้ผลิต ใช้บัญชีเริ่มต้นเพียงครั้งเดียว แล้วเปลี่ยนรหัสผ่านทันที และสร้างบัญชีแอดมินแยกให้แต่ละคน

ตั้งชื่อโฮสต์ เวลา และ DNS

ตั้งชื่อเครื่องที่ชัดเจน เช่น fw-hq-01 ตั้งเขตเวลาให้ถูกต้องและตั้ง NTP server เพราะล็อกและใบรับรองขึ้นกับเวลาที่แม่นยำ ตั้ง DNS server เพื่อให้เครื่องตรวจอัปเดตและแปลงชื่อได้

ไลเซนส์ การอัปเดต และเนื้อหา

เปิดใช้ไลเซนส์ที่ซื้อไว้ แล้วดาวน์โหลดซอฟต์แวร์เวอร์ชันล่าสุด พร้อมฐานข้อมูลภัยคุกคาม แอปพลิเคชัน และ URL ติดตั้งตามลำดับที่ผู้ผลิตแนะนำ และอ่านหมายเหตุของรุ่น ฐานข้อมูลภัยคุกคามที่ล้าสมัยเป็นสาเหตุที่พบบ่อยของการตรวจจับการโจมตีพลาด

จำกัดผู้ที่จัดการ firewall ได้

อนุญาตการจัดการเฉพาะจากซับเน็ตแอดมินที่กำหนดไว้ และปิดการจัดการบนอินเทอร์เฟซที่หันหน้าสู่อินเทอร์เน็ต ใช้การยืนยันตัวตนที่แข็งแรง และถ้าเป็นไปได้ให้ใช้ไดเรกทอรีภายนอกหรือยืนยันตัวตนสองขั้นสำหรับการล็อกอินของแอดมิน

การตั้งค่าอุปกรณ์: ตั้งค่าแอดเดรสการจัดการ เวลา และบัญชีแอดมิน

ตั้งชื่อ firewall แอดเดรสการจัดการและ gateway เซิร์ฟเวอร์ DNS และ NTP และเขตเวลา อนุญาตการจัดการเฉพาะจากซับเน็ตแอดมิน สร้างบัญชี superuser ที่มีชื่อ แล้ว commit พร้อมคำอธิบาย จากนั้นตรวจข้อมูลระบบและดาวน์โหลดการอัปเดตเนื้อหาล่าสุด

# PAN-OS CLI: first access, management settings and updates
configure
set deviceconfig system hostname fw-hq-01
set deviceconfig system ip-address 192.168.1.10 netmask 255.255.255.0 default-gateway 192.168.1.1
set deviceconfig system dns-setting servers primary 8.8.8.8
set deviceconfig system timezone Asia/Bangkok
set deviceconfig system ntp-servers primary-ntp-server ntp-server-addr pool.ntp.org
set deviceconfig system permitted-ip 192.168.1.0/24
set mgt-config users netadmin permissionrole superuser
set mgt-config users netadmin password
commit description "initial setup"
exit
# Operational mode: check and update content
show system info
request content upgrade check
request content upgrade download latest
request content upgrade install version latest

หัวข้อที่ 4: อินเทอร์เฟซ โซน และการกำหนดเส้นทาง

อินเทอร์เฟซคือพอร์ตจริงที่มี IP แอดเดรส โซนคือกลุ่มที่มีชื่อของอินเทอร์เฟซที่มีระดับความเชื่อถือเดียวกัน นโยบายความปลอดภัยเขียนระหว่างโซน ไม่ใช่ระหว่างอินเทอร์เฟซ ดังนั้นการเลือกโซนคือการตัดสินใจด้านการออกแบบที่สำคัญที่สุดของ firewall

อินเทอร์เฟซ Layer 3

ให้แต่ละพอร์ตข้อมูลมี IP แอดเดรส มาสก์ และ virtual router แล้วกำหนดพอร์ตให้อยู่ในโซนหนึ่ง virtual router เก็บตารางเส้นทางของอินเทอร์เฟซที่เป็นของมัน การตั้งค่าขนาดเล็กมักต้องการเพียง virtual router เดียว

โซนมาตรฐาน

การออกแบบทั่วไปใช้สามโซน โซน untrust หันหน้าสู่อินเทอร์เน็ตและถือว่าเป็นศัตรู โซน trust เก็บผู้ใช้ภายในและถือว่าปลอดภัยแต่ไม่เชื่อถือเต็มที่ โซน DMZ เก็บเซิร์ฟเวอร์สาธารณะที่อินเทอร์เน็ตต้องเข้าถึง และแยกออกมาเพื่อไม่ให้เซิร์ฟเวอร์ที่ถูกเจาะเข้าโซน trust ได้โดยอิสระ

การกำหนดเส้นทางไปและกลับจากอินเทอร์เน็ต

ตั้ง default route ไปยังเราเตอร์อินเทอร์เน็ต และเพิ่ม static route หรือโปรโตคอลไดนามิกสำหรับเครือข่ายภายในที่อยู่หลังเราเตอร์อื่น ตรวจว่าทราฟฟิกขากลับมีเส้นทางกลับ เพราะ firewall จะทิ้งทราฟฟิกที่หาเส้นทางไม่เจอ การทดสอบ ping จากแต่ละโซนจะบอกได้ว่าการกำหนดเส้นทางถูกต้องก่อนเพิ่มนโยบายใด ๆ

Zone protection

แต่ละโซนตั้งการป้องกันได้ เช่น จำกัดการท่วม (flood) และการสแกน ซึ่งหยุดการโจมตีที่พบบ่อยก่อนนโยบายจะถูกตรวจ เปิดที่โซน untrust ก่อน แล้วดูล็อกหา false positive ก่อนจะเข้มขึ้น

การตั้งค่าอุปกรณ์: ตั้งค่าอินเทอร์เฟซ โซน และ default route

กำหนดแอดเดรสให้แต่ละพอร์ตข้อมูล ใส่แต่ละพอร์ตลงโซน และเพิ่มทุกพอร์ตเข้า virtual router default route ส่งทราฟฟิกอินเทอร์เน็ตไปยัง gateway ของ ISP ตรวจเส้นทางด้วย show routing route และ ping ก่อนเขียนกฎความปลอดภัยใด ๆ

# PAN-OS CLI: interfaces, zones, virtual router and default route
configure
set network interface ethernet ethernet1/1 layer3 ip 203.0.113.2/30
set network interface ethernet ethernet1/2 layer3 ip 10.10.10.1/24
set network interface ethernet ethernet1/3 layer3 ip 172.16.10.1/24
set zone untrust network layer3 ethernet1/1
set zone trust network layer3 ethernet1/2
set zone dmz network layer3 ethernet1/3
set network virtual-router default interface [ ethernet1/1 ethernet1/2 ethernet1/3 ]
set network virtual-router default routing-table ip static-route default-route destination 0.0.0.0/0 nexthop ip-address 203.0.113.1
commit
exit
# Operational mode: check interfaces and routes
show interface all
show routing route
ping source 10.10.10.1 host 8.8.8.8

หัวข้อที่ 5: นโยบายความปลอดภัย: กฎ ลำดับ และการปฏิเสธเป็นค่าเริ่มต้น

นโยบายความปลอดภัยคือรายการกฎที่เรียงลำดับ แต่ละกฎจับคู่โซนต้นทาง โซนปลายทาง แอดเดรสหรือผู้ใช้ แอปพลิเคชันหรือบริการ แล้วอนุญาตหรือปฏิเสธทราฟฟิก กฎถูกอ่านจากบนลงล่าง และกฎแรกที่ตรงจะตัดสิน

ฟิลด์ของกฎที่สำคัญ

กฎมีชื่อ โซนต้นทางและปลายทาง แอดเดรสต้นทางและปลายทาง ผู้ใช้ แอปพลิเคชัน บริการ (พอร์ต) และการกระทำ เช่น allow หรือ deny ใช้แอปพลิเคชันแทนพอร์ตเมื่อทำได้ กฎที่เขียนว่า 'web browsing' ชัดและปลอดภัยกว่ากฎที่เขียนว่า 'TCP port 80 and 443'

ลำดับของกฎและกฎค่าเริ่มต้น

วางกฎที่เจาะจงที่สุดไว้ก่อน และกฎกว้างไว้ท้าย PAN-OS มีกฎค่าเริ่มต้นอยู่ท้ายสุด: intrazone default ที่อนุญาตทราฟฟิกภายในโซนเดียว และ interzone default ที่ปฏิเสธทราฟฟิกระหว่างโซน เพราะ interzone default ปฏิเสธ คุณต้องเพิ่มกฎ allow แบบชัดเจนสำหรับทุกการไหลที่ต้องการระหว่างโซน

เริ่มเข้มงวด แล้วผ่อนด้วยหลักฐาน

เริ่มจากกฎที่ deny และบันทึกล็อก ดูล็อกว่ามีการใช้งานจริงอะไรบ้าง แล้วจึงเขียนกฎ allow สำหรับการไหลที่ยืนยันแล้ว วิธีนี้ป้องกันความผิดพลาดที่พบบ่อยคือการอนุญาตมากเกินไปเพราะคัดลอกกฎมาจากที่อื่น

โปรไฟล์บนทราฟฟิกที่อนุญาต

กฎ allow แนบโปรไฟล์ความปลอดภัยได้ เช่น antivirus และ threat prevention กับทราฟฟิกที่มันอนุญาต ถ้าอนุญาตโดยไม่มีโปรไฟล์ firewall จะระบุแอปได้แต่จะไม่ตรวจเนื้อหา จึงควรเปิดโปรไฟล์สำหรับทราฟฟิกที่นำไฟล์หรือเนื้อหาเว็บเข้ามา

การตั้งค่าอุปกรณ์: เขียนกฎความปลอดภัยและการปฏิเสธเป็นค่าเริ่มต้น

กฎแรกอนุญาตให้ฝ่ายสำนักงานท่องเว็บและบันทึกทุกเซสชัน กฎที่สองให้ผู้ใช้อินเทอร์เน็ตเข้าถึงเว็บเซิร์ฟเวอร์ใน DMZ ผ่านแอดเดรสส่วนตัวหลัง NAT กฎ interzone default ปฏิเสธทุกอย่างที่เหลือระหว่างโซน ย้ายกฎที่เจาะจงที่สุดไว้บนสุด แล้วใช้การทดสอบ policy match เพื่อยืนยัน

# PAN-OS CLI: security rules (order matters; the first match wins)
configure
set rulebase security rules allow-web-out from trust to untrust source 10.10.10.0/24 destination any application [ web-browsing ssl ] service application-default action allow log-end yes
set rulebase security rules allow-web-to-dmz from untrust to dmz source any destination 172.16.10.10 application web-browsing service application-default action allow log-end yes
set rulebase default-security-rules rules interzone-default log-end yes
move rulebase security rules allow-web-out top
commit
exit
# Operational mode: check which rule a flow would match
test security-policy-match from trust to untrust source 10.10.10.20 destination 8.8.8.8 protocol 6 destination-port 443

หัวข้อที่ 6: NAT: การแปลงแอดเดรส

NAT เปลี่ยนแอดเดรสต้นทางหรือปลายทางของทราฟฟิกขณะที่มันผ่าน firewall ผู้ใช้ขาออกมักต้องใช้ source NAT เพื่อแชร์แอดเดรสสาธารณะ ส่วนเซิร์ฟเวอร์ใน DMZ มักต้องใช้ destination NAT เพื่อให้ผู้ใช้ภายนอกเข้าถึงได้ด้วยแอดเดรสสาธารณะ

Source NAT สำหรับสำนักงาน

Dynamic source NAT ซึ่งมักเรียกว่า dynamic IP and port ให้โฮสต์ภายในหลายเครื่องแชร์แอดเดรสสาธารณะของอินเทอร์เฟซ untrust สร้างกฎ NAT จากโซน trust ไปยังโซน untrust และตรวจว่านโยบายความปลอดภัยอนุญาตทราฟฟิกนั้น

Destination NAT สำหรับเซิร์ฟเวอร์สาธารณะ

Destination NAT แมป IP แอดเดรสและพอร์ตสาธารณะไปยังแอดเดรสส่วนตัวของเซิร์ฟเวอร์ เช่น แอดเดรสสาธารณะ 203.0.113.10 พอร์ต 443 แมปไปยังเว็บเซิร์ฟเวอร์ใน DMZ ที่แอดเดรสส่วนตัว นโยบายความปลอดภัยต้องอนุญาตทราฟฟิกไปยังแอดเดรสส่วนตัวหลังการแปลง ซึ่งเป็นจุดที่สับสนบ่อย

ตรวจลำดับและทดสอบ

NAT และนโยบายความปลอดภัยต่างก็มีผลกับการไหลของทราฟฟิก ตรวจลำดับตามเอกสารของเวอร์ชันที่คุณใช้ หลังทุกการเปลี่ยน NAT ให้ทดสอบจากไคลเอนต์จริงทั้งสองฝั่ง และดูล็อกทราฟฟิกเพื่อเห็นแอดเดรสเดิมและแอดเดรสที่ถูกแปลง

การตั้งค่าอุปกรณ์: ตั้งค่า source NAT และ destination NAT

กฎขาออกแปลงแอดเดรสของสำนักงานเป็นแอดเดรสของอินเทอร์เฟซภายนอก กฎเว็บเซิร์ฟเวอร์แมปแอดเดรสสาธารณะ 203.0.113.10 พอร์ต 443 ไปยังเซิร์ฟเวอร์ใน DMZ กฎความปลอดภัยด้านบนต้องอนุญาตทราฟฟิกไปยังแอดเดรสส่วนตัว เพราะนโยบายถูกตรวจหลังการแปลง

# PAN-OS CLI: source NAT for the office and destination NAT for the DMZ web server
configure
set rulebase nat rules outbound-to-internet from trust to untrust source any destination any service any nat-type ipv4 to-interface ethernet1/1 source-translation dynamic-ip-and-port interface-address interface ethernet1/1
set rulebase nat rules web-server-dnat from untrust to untrust source any destination 203.0.113.10 service service-https nat-type ipv4 to-interface ethernet1/1 destination-translation translated-address 172.16.10.10 translated-port 443
commit
exit
# Operational mode: check sessions and the translated addresses
show session all filter destination 203.0.113.10

หัวข้อที่ 7: การป้องกันภัยคุกคาม URL filtering และการถอดรหัส

โปรไฟล์ความปลอดภัยและการถอดรหัสคือจุดที่ NGFW ไปไกลกว่าแอดเดรสและพอร์ต มันตรวจสิ่งที่อยู่ข้างในการเชื่อมต่อ แต่ก็ต้องวางแผนอย่างรอบคอบเพื่อไม่ให้ทราฟฟิกที่ถูกต้องพัง

โปรไฟล์ความปลอดภัยหลัก

Antivirus สแกนไฟล์หามัลแวร์ที่รู้จัก Anti-spyware บล็อกทราฟฟิกควบคุมจากโฮสต์ที่ติดเชื้อ Vulnerability protection บล็อกความพยายามใช้ช่องโหว่ที่รู้จัก URL filtering บล็อกหรือเตือนหมวดหมู่เว็บไซต์ File blocking หยุดการดาวน์โหลดหรืออัปโหลดไฟล์บางชนิด เริ่มจากโปรไฟล์ค่าเริ่มต้นหรือแนวปฏิบัติที่แนะนำ แล้วปรับตามล็อก

การถอดรหัส: ตรวจทราฟฟิกที่เข้ารหัส

เว็บส่วนใหญ่เข้ารหัสด้วย TLS และ firewall ตรวจสิ่งที่มันอ่านไม่ได้ไม่ได้ การถอดรหัสทำให้ firewall ทำตัวเป็นฝ่ายที่เชื่อถือได้ โดยส่งใบรับรองของตัวเองให้ไคลเอนต์ ซึ่งต้องให้ไคลเอนต์เชื่อถือ certificate authority ของ firewall การถอดรหัสก่อให้เกิดคำถามด้านความเป็นส่วนตัวและกฎหมาย จึงควรตัดสินใจร่วมกับเจ้าของเครือข่ายว่าทราฟฟิกใดจะถูกถอดรหัส และบันทึกการตัดสินใจนั้น ทราฟฟิกบางประเภท เช่น บริการธนาคารและสุขภาพ มักถูกยกเว้น

การตั้งค่าใบรับรองและความเชื่อถือ

เพื่อถอดรหัส firewall ต้องมีใบรับรอง forward-trust ที่ไคลเอนต์ภายในเชื่อถือ และต้องรองรับแอปที่ปฏิเสธใบรับรองที่ถูกแทน ทดสอบกฎถอดรหัสใหม่ทุกข้อด้วยไคลเอนต์ที่คุณควบคุม และเตรียมรายการยกเว้นไว้สำหรับแอปที่พัง

หัวข้อที่ 8: VPN สำหรับการเข้าถึงจากระยะไกลและ High Availability

สองฟีเจอร์นี้มักปรากฏในการใช้งานจริง การเข้าถึงระยะไกลให้พนักงานเชื่อมต่อจากบ้านหรือระหว่างเดินทาง ส่วน High Availability ทำให้เครือข่ายทำงานต่อได้เมื่อ firewall ตัวหนึ่งเสีย

แนวคิด GlobalProtect VPN

GlobalProtect คือ VPN สำหรับการเข้าถึงระยะไกลของ firewall Palo Alto พอร์ทัลบอกไคลเอนต์ว่าควรใช้เกตเวย์ใด และเกตเวย์สร้างอุโมงค์ที่เข้ารหัส เมื่อเชื่อมต่อแล้ว ผู้ใช้จะอยู่ในโซนความปลอดภัยที่มีนโยบายเหมือนสำนักงาน และ User-ID ผูกเซสชันกับผู้ใช้ในไดเรกทอรีได้ วางแผน IP pool สำหรับไคลเอนต์ระยะไกลให้ไม่ทับกับเครือข่ายภายใน

Site-to-site VPN

อุโมงค์ IPsec แบบ site-to-site เชื่อมสองสำนักงาน ทั้งสองฝั่งต้องมีการตั้งค่า phase 1 และ phase 2 ที่ตรงกัน คีย์ที่ใช้ร่วมกันหรือใบรับรองเดียวกัน และเส้นทางหรือ proxy ID ที่ครอบคลุมเครือข่ายที่ถูกต้อง อุโมงค์ที่ขึ้นแล้วแต่ไม่ส่งทราฟฟิกเกือบทุกครั้งเป็นปัญหาเส้นทางหรือนโยบายที่ฝั่งใดฝั่งหนึ่ง

High Availability

คู่ firewall ทำงานได้ทั้งแบบ active-passive ที่ตัวสแตนด์บายรับงานเมื่อตัวหลักเสีย หรือแบบ active-active ที่ทั้งสองตัวประมวลผลทราฟฟิก ทั้งสองเครื่องซิงโครไนซ์คอนฟิกและตาราง session ผ่านลิงก์เฉพาะ ทดสอบการสลับ (failover) ในช่วงเวลาที่ธุรกิจทราบล่วงหน้า เพราะคู่ที่ตั้งผิดอาจทำให้ระบบล่มได้ ซึ่ง firewall ตัวเดียวอาจไม่ทำให้ล่ม

หัวข้อที่ 9: Commit ล็อก และการแก้ปัญหา

Firewall มีคอนฟิกแบบ candidate ที่คุณแก้ไข และคอนฟิกแบบ running ที่ทำงานอยู่ การเปลี่ยนแปลงทุกอย่างจะไม่กระทบทราฟฟิกจนกว่าจะ commit หลังจากนั้นล็อกและเครื่องมือในตัวจะบอกว่าการเปลี่ยนแปลงทำงานหรือไม่

Candidate, running และ commit

การเปลี่ยนแปลงถูกเขียนลงคอนฟิกแบบ candidate การ commit ทำให้มีผล และคุณดูตัวอย่างการเปลี่ยนแปลงได้ก่อน commit บันทึกคอนฟิกที่มีชื่อก่อนการเปลี่ยนใหญ่ เพื่อย้อนกลับได้หากมีอะไรผิดพลาด และใส่คำอธิบายที่ชัดเจนตอน commit เพื่อให้ audit log อธิบายการเปลี่ยนแต่ละครั้งได้

ล็อกทราฟฟิกและภัยคุกคาม

ล็อกทราฟฟิกแสดงแต่ละเซสชันพร้อมต้นทาง ปลายทาง แอปพลิเคชัน ผู้ใช้ ชื่อกฎ และการกระทำ ล็อกภัยคุกคามแสดงการตรงกับโปรไฟล์ความปลอดภัย เมื่อผู้ใช้บอกว่าเว็บถูกบล็อก ให้ค้นหาไอพีของเขาในล็อกทราฟฟิก หากฎที่ตรง แล้วตรวจว่าเป็นกฎ โปรไฟล์ หรือหมวด URL ที่ทำให้ถูกบล็อก

ลำดับการแก้ปัญหา

ทำตามลำดับเดียวกับทราฟฟิก: ลิงก์ขึ้นหรือไม่ มีเส้นทางหรือไม่ NAT ถูกต้องหรือไม่ มีกฎความปลอดภัยตรงหรือไม่ และโปรไฟล์บล็อกหรือไม่ คำสั่ง test ใน CLI บอกได้ว่าการไหลจะตรงกับกฎใด และการจับแพ็กเก็ตแสดงสิ่งที่ออกและเข้าบนแต่ละอินเทอร์เฟซ

การเฝ้าดูและรายงาน

ใช้แดชบอร์ด รายงานตามกำหนด และการแจ้งเตือนสำหรับภัยคุกคามสำคัญ อุโมงค์ VPN ที่ล้มเหลว และข้อผิดพลาดของอินเทอร์เฟซ ตรวจล็อกเป็นประจำ ไม่ใช่เฉพาะตอนมีปัญหา เพราะการโจมตีส่วนใหญ่มองเห็นได้ในล็อกก่อนจะสร้างความเสียหาย

การตั้งค่าอุปกรณ์: บันทึก commit และย้อนกลับอย่างปลอดภัย

ดูความต่างที่ยังไม่ commit ก่อน บันทึกเวอร์ชันที่มีชื่อ แล้ว commit พร้อมคำอธิบายที่บันทึกลง audit log ได้ ถ้าการเปลี่ยนทำให้ทราฟฟิกพัง ให้โหลดเวอร์ชันที่บันทึกไว้แล้ว commit อีกครั้ง อ่านล็อกทราฟฟิกเพื่อยืนยันว่ากฎอนุญาตและปฏิเสธอะไร

# PAN-OS CLI: review changes, save a named configuration, commit with a description, roll back
configure
show config diff
save config to before-web-change
commit description "allow web from office, NAT for the DMZ web server"
exit
# Later, if the change causes a problem: load the saved version, check it, then commit
configure
load config from before-web-change
commit description "rollback: web change"
exit
# Operational mode: read the logs
show log traffic

ฝึกในแล็บ

ทักษะ firewall มาจากการลงมือทำ จึงควรสร้างแล็บเล็ก ๆ ที่มีสามเครือข่าย คือฝั่งอินเทอร์เน็ต LAN ของสำนักงาน และ DMZ ที่มีเว็บเซิร์ฟเวอร์ ใช้อิมเมจแล็บหรือซิมูเลเตอร์จากผู้ผลิตถ้ามี และทำตามขั้นตอนนี้ตามลำดับ

1. วาดแนวคิดและเขียนแผน IP และโซนสำหรับเครือข่ายทั้งสาม

2. ตั้งค่าการเข้าถึงการจัดการ เปลี่ยนรหัสผ่านค่าเริ่มต้น และสร้างบัญชีแอดมินที่มีชื่อ

3. ตั้งค่าอินเทอร์เฟซทั้งสาม กำหนดแต่ละพอร์ตให้โซน แล้วเพิ่ม default route และเส้นทางไปยังเครือข่ายภายใน

4. ตรวจการเชื่อมต่อด้วย ping จากแต่ละโซนก่อนเพิ่มนโยบายความปลอดภัยใด ๆ

5. เพิ่มกฎที่อนุญาตให้สำนักงานเข้าอินเทอร์เน็ตทางเว็บ และตั้ง default deny สำหรับทราฟฟิกอื่นทั้งหมด

6. เพิ่ม destination NAT เพื่อให้เข้าถึงเว็บเซิร์ฟเวอร์ใน DMZ จากฝั่ง untrust และเพิ่มกฎความปลอดภัยที่ตรงกัน

7. แนบโปรไฟล์ threat prevention กับกฎที่อนุญาต แล้วตรวจล็อกหาการตรงกัน

8. Commit ทดสอบแต่ละการไหล และย้อนกลับไปยังคอนฟิกที่บันทึกไว้เพื่อยืนยันว่าการย้อนกลับทำงาน

ขั้นต่อไป

หลังการตั้งค่า ให้ฝึกการแก้ปัญหาตามนโยบายจนหาการไหลที่ถูกบล็อกได้ภายในไม่กี่นาที แล้วศึกษา GlobalProtect และ site-to-site VPN และ High Availability จดบันทึกการเปลี่ยนแปลงทุกครั้งที่ commit เพราะการล่มส่วนใหญ่มาจากการเปลี่ยนแปลงที่ไม่ได้บันทึก ไม่ใช่กฎเดียวที่ผิด

สรุป

Palo Alto NGFW ระบุแอปพลิเคชัน ผู้ใช้ และเนื้อหา ไม่ใช่แค่พอร์ตและแอดเดรส การตั้งค่าที่ดีเริ่มจากแผนภาพแนวคิด แผนโซนและ IP และรายการทราฟฟิกที่ต้องใช้ ตามด้วยการตั้งค่าการจัดการ อินเทอร์เฟซและโซน นโยบายที่เรียงลำดับพร้อม allow แบบชัดเจนสำหรับแต่ละการไหล NAT สำหรับขาออกและเซิร์ฟเวอร์สาธารณะ และโปรไฟล์สำหรับการตรวจสอบ commit อย่างมีสติ อ่านล็อก และเก็บแผนย้อนกลับไว้เสมอ