Hướng dẫn kỹ thuật CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
Email: info@datech.vn
Danh mục sản phẩm
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
Danh mục sản phẩm
Router 
Firewall 
Switch 
Wifi - Access Point 
Máy chủ ( Server ) 
Thiết bị lưu trữ NAS 
Networking Accessories 
Video Conference 
Vật tư mạng 
Tổng đài & điện thoại 
Bộ lưu điện UPS 
13/12/2021
13/12/2021
Danh sách nội dung [Ẩn]
Palo Alto Networks là công ty an ninh mạng hàng đầu thế giới, có trụ sở tại Santa Clara, California, mang đên cho hơn 60.000 doanh nghiệp sức mạnh để bảo vệ hàng tỷ người trên toàn thế giới. Firewall Palo Alto nổi tiếng với việc luôn thách thức hiện trạng bảo mật. Nền tảng hoạt động bảo mật tiên phong của tường lửa này giúp các tổ chức sẵn sàng cho những đột phá mới nhất về bảo mật, tự động hóa và phân tích. Khách hàng trên toàn thế giới liên tục trao thưởng cho công ty xếp hạng khách hàng thân thiết cao nhất và điểm quảng bá ròng trong ngành.
Đơn giản hóa và tăng cường bảo mật của bạn với kiến trúc tập trung vào phòng ngừa của chúng tôi, dễ triển khai và vận hành trên mạng và hiệu quả đến không ngờ. Bất kể bạn cần bảo vệ ở đâu, Tường lửa Palo Alto Firewall PA-Series của chúng tôi đều được cấu trúc để cung cấp sự bảo vệ nhất quán cho toàn bộ chu vi mạng của bạn từ trụ sở chính và khuôn viên văn phòng, văn phòng chi nhánh và trung tâm dữ liệu cho lực lượng lao động và từ xa của bạn.
Nền tảng vận hành bảo mật với tường lửa Palo Alto Networks cho phép bạn tự động hóa nhận dạng và thực thi mối đe dọa trên đám mây, mạng và điểm cuối của bạn.
Giảm các bề mặt tấn công và ngăn chặn các mối đe dọa bằng cách bật ứng dụng một cách an toàn
Chọn cho mình thiết bị tường lửa Firewall phù hợp với nhu cầu sử dụng của bạn theo danh sách sản phẩm dưới đây. Xem thông số kỹ thuật chi tiết trong phần mô tả sản phẩm.
Hoặc nếu bạn cần tư vấn về sản phẩm Firewall Palo Alto hay bất cứ sản phẩm thiết bị mạng nào thì có thể liên hệ với bộ phân tư vấn bán hàng của DATECH để được hỗ trợ.
---------------------------------------------------------------------------------
CẤU HÌNH CƠ BẢN FIREWALL PALO ALTO
Tường lửa Palo Alto đã được cấu hình sẵn với IP mặc định của cổng MGMT là https://192.168.1.1, tài khoản mặc định là admin/admin. Các bạn có thể truy cập vào giao diện web của tường lửa qua địa chỉ: https://192.168.1.1. Tuy nhiên, trong 1 số trường hợp như firewall VM, hoặc thiết bị đã bị đổi IP, các bạn có thể sử dụng dây Console để cấu hình IP của thiết bị.
Datech>configure //truy cập vào mode cấu hình |
Kiểm tra thông tin vừa cấu hình:
Datech>show interface management --------------------------------- |
Bây giờ các bạn có thể sử dụng giao diện web thông qua địa chỉ IP:
https://10.0.1.50
Nếu tường lửa đã có IP mặc định, các bạn có thể truy cập IP mặc định và đổi IP quản trị trong mục: Device > Setup > Interfaces > Management
Các Virtual Router trên Palo Alto được sử dụng để phân chia firewall thành các router ảo, mỗi router này sẽ có 1 bảng định tuyến riêng và chỉ các Interface trên cùng 1 Virtual Router mới có thể ping được đến nhau. Trên Firewall đã được cấu hình sẵn 1 Virtual Router là default, các bạn có thể sử dụng virtual router này hoặc tạo mới 1 virtual router mới.
Truy cập Network > Virtual Routers, chọn Add để tạo mới 1 Virual Router và đặt tên Datech, click OK để tạo.
Các Zone được sử dụng để nhóm các interface có chung security level. Trong bài viết mình sẽ tạo 2 zone là trust cho 2 mạng LAN bên dưới và untrust cho interface kết nối internet. Các bạn cũng có thể tạo thêm zone DMZ cho vùng máy chủ hoặc các dịch vụ public ra internet. Traffic mặc định trong cùng 1 zone sẽ được permit, còn giữa các zone khác nhau sẽ bị deny.
Truy cập Network > Zones, chọn Add và tạo 2 zone là Trust và Untrust. Lưu ý chọn Type là Layer3
Cấu hình cổng E1/2 kết nối ra Internet. Trong bài viết mình đặt IP tĩnh trên Interface là 100.0.0.100/24. Trong thực tế nếu quay PPPoE trên Firewall, các bạn cần cấu hình Interface để có thể nhận được IP từ ISP.
Truy cập Network > Interfaces > Ethernet, chọn interface ethernet1/2
Chọn table IPv4 để đặt IP cho interface:
Cấu hình cổng Eth1/1 cho 2 VLAN 10 và 20. Cổng eth1/1 sẽ được cấu hình subinterface để làm gateway của 2 VLAN.
Truy cập Network ;> Interfaces > Ethernet, chọn interface ethernet1/1
Truy cập Network > Interfaces > Ethernet, chọn interface ethernet1/1, chọn Add SubInterface:
Trong tab IPv4, chọn Add và đặt IP gateway cho VLAN 10 là 10.0.0.1/24
Tương tự tạo 1 subinterface ethernet1/1.20 cho VLAN 20.
Truy cập Network > Virtual Routers, chọn virtual router đã tạo ở trên là Datech, chọn tab Static Routes, chọn Add để tạo 1 default route:
Chúng ta có thể tạo trước các Objects để add vào NAT rule và policy. Truy cập Objects > Addresses, click Add để tạo các address cho từng vlan. Ở đây mình sẽ tạo IP_VLAN_10 cho dải IP 10.0.0.0/24, IP_VLAN_20 cho dải ip 10.0.1.0/24 và IP_PUBLIC cho địa chỉ IP Wan.
Tạo NAT overload để cho phép NAT giữa mạng nội bộ và IP WAN
Truy cập Policies > NAT, chọn Add:
Chọn tab Original Packet:
Chọn tab Translated Packet
Truy cập Policies > Security, chọn Add:
Chọn tab Source cho Policy:
Chọn Tab Destination, add zone Untrust và destination Address là Any.
Trong tab Actions, chọn action là Allow để cho phép 2 VLAN ra Internet
Với các tab User, Application, Service/URL Category mình đang để any. Các bạn có thể giới hạn dịch vụ tùy theo nhu cầu của từng công ty.
Sau khi cấu hình xong, các bạn cần commit để áp dụng cấu hình cho Firewall.
Trên Router ISP mình cấu hình IP cho cổng kết nối xuống FW làm Next-Hop và 1 interface loopback 0 có IP là 8.8.8.8 để giả lập internet cho bài lab
Router>enable |
Switch core với cổng Eth0/2 kết nối lên Firewall được cấu hình Trunk, cổng Eth0/0 cấu hình access vlan 20 và cổng Eth0/1 được cấu hình access vlan 10:
| Switch>en Switch#configure terminal Switch(config)#hostname SW-Core SW-Core(config)#vlan 10 SW-Core(config-vlan)#vlan 20 SW-Core(config-vlan)#exit SW-Core(config)#interface e0/2 SW-Core(config-if)#switchport trunk encapsulation dot1q SW-Core(config-if)#switchport mode trunk SW-Core(config-if)#switchport trunk allowed vlan 10,20 SW-Core(config-if)#exit SW-Core(config)#interface e0/1 SW-Core(config-if)#switchport mode access SW-Core(config-if)#switchport access vlan 10 SW-Core(config)#interface e0/0 SW-Core(config-if)#switchport mode access SW-Core(config-if)#switchport access vlan 20 SW-Core(config-if)#end SW-Core# |
Trên PC thuộc VLAN 10, ping đến địa chỉ IP 8.8.8.8 để kiểm tra kết nối
Như vậy là chúng ta đã cấu hình thành công mô hình mạng sử dụng Firewall Palo Alto cho 2 VLAN kết nối Internet. Nếu các bạn có bất kỳ thắc mắc nào hoặc yêu cầu hướng dẫn cấu hình các tính năng khác trên Firewall Palo Alto, vui lòng comment bên dưới bài viết, CNTTShop sẽ trả lời trong thời gian sớm nhất.
Chúc các bạn thành công!
