Palo Alto firewall-da sıfırdan site-to-site VPN-nin qurulması

Bu məqaləmdə Palo Alto firewall üzərində iki fərqli şirkət arasında site-to-site VPN -nin necə qurulacağını göstərəcəm.

Topologiyamıza nəzər salsaq

Company A:

İnternal IP address: 192.168.10.0/24 External IP address: 63.132.60.2

Company B:

• İnternal IP address: 192.168.20.0/24
• External IP address: 70.132.70.1

Provider :

• Gi0/0: 60.132.60.1
• Gi0/1: 70.132.70.1

İlk addım olaraq IP ünvanlarını VPC-lərə (Virtual kompüterlər) təyin edək.

VPC-1

VPC-1 192.168.10.10/24 IP address getway olaraqda 192.168.10.0 təyin etdik.

VPC-2

VPC-2 isə 192.168.20.10/24 IP address getway olaraqda 192.168.10.0 təyin etdik.

Routera IP ünvanlarını təyin etməklə, A Şirkəti və B Şirkəti şəbəkələrinin provayder yönləndirici kimi bir-birinə qoşulmasını təmin edək.

İndi isə, company_A Palo Alto-nun configuration edək. İlk olaraq İnterface-lərə İP verməklə başlayaq

Ethernet1/2

İndi Palo Alto firewallımızda zone-ları konfiqurasiya edək:

Palo Alto firewallmızda şəbəkə trafikini yönləndirmək üçün virtual router konfiqurasiya edək:

Destination: 0.0.0.0/0 bütün IP ünvanlarını əhatə edir. İnterfeys : ethernet1/1. Bu, trafikin çıxacağı fiziki interfeysdir. Next Hop: 60.132.60.1 IP ünvanını. Bu, trafikin yönləndiriləcəyi next hop ünvanıdır.

Topologiyamıza yenidən nəzər salsaq eth1/1 dən provider-in İP-siənə yönləndirəcəyik

NAT Policy Rule Konfiqurasiyası edək

Dinamik IP and Port funksiyası şəbəkədəki bir çox cihazın tək public ip ilə qoşulmasını təmin edir

İndi isə, company_B Palo Alto-nu configuration edək.

İnterface İP eth1/1

İnterface İP eth1/2

Zone configuration

Eth 1/1

Eth 1/2

Virtual Router configuration

NAT configuration

Company_A palo alto-dan Company_B palo alto-ya ping gedir, artıq VPN konfiqurasiyasına başlaya bilərik

Company_A Palo Alto-sunda VPN konfiqurasiya başlayaq

İlk olaraq VPN quraşdırılmasında istifadə olunan iki əsas mərhələni, Phase 1 və Phase 1-ni izah edəcəyəm. Bu mərhələlər VPN tunelinin qurulması və məlumatların təhlükəsiz ötürülməsini təmin etmək üçün lazımdır.

Phase 1-in məqsədi VPN tunelini qurmaq və iki tərəf arasında hansı şifrələmə alqoritmlərindən və hansı authentication isdifadə edəceymizdir

Phase 2 isə aktual datanın şifrələmsidir

Phase 1 konfiqurasiya

DH14 qrupu, 2048 bit uzunluğunda açarlar istehsal edir məlumatın confidentiality qorumaq üçün aes-256 encryption isdifadə edirəm integrity qorumaq üçün sha256

İKE Gateway

Pear Address qarşıdakı Palo Altounun İP address-ni yazırıq

İKE Crypto Profile olaraqda Phase 1 də yaratdığmız profile seçirik

Tunel Interface

Tunel İnterface yaratmaq

Tunel İnterface uğun zone yaratmaq

İnterface olaraq yaratdığmız tunel İnterface seçirik

Phase 2 konfiqurasiya

İPSec Tunnels konfiqurasiya

Virtual router konfiqurasiya

Burda 192.168.20.0/24 şəbəkəsinə getmək üçün yaratdığmız tunel 10 şəbəkəsi üzərindən getməyini qeyd edirik

Company_B Palo Alto-sunda VPN konfiqurasiya edək

Phase 1 Crypto profile

Hər iki Palo Alto-da olan parametilər eyni olmalıdır

Phase 1 konfiqurasiya

Tunel İnterface konfiqurasiya

Zone konfiqurasiya

Virtual router konfiqurasiya

Phase 2 konfiqurasiya

İPsec profile

İPsec Tunel

Check

İndi isə VPN-mizin düzgün konfiqurasya olunub olmadığnı yoxlayaq.

VPC1 dən VPC2 yə ping ataraqda yoxlaya bilərik.

Pkt Encap və Pkt Decap: Bu sahələr tunel vasitəsilə göndərilən və qəbul edilən paketlərin sayını göstərir. Burada həm göndərilən (Encap), həm də alınan (Decap) paketlərin sayının 3 olduğunu görürük. Bu, tunelin məlumat göndərdiyini və qəbul etdiyini təsdiqləyir.

VPN biz tənzimlədiymiz kimi konfiqurasya olunub və aktivdir.

Məqaləmi oxuduğunuz üçün təşəkkür edirəm! Ümid edirəm faydalı olmuşdur.