Création d'un pare-feu Palo Alto Networks série VM

Si vous utilisez l'application Panorama pour gérer vos périphériques, vous devrez saisir l'adresse IP Panorama et la clé d'authentification lors de la création du périphérique. La prise en charge de Panorama n'est offerte que pour les versions 10.1.12 et supérieures.

Le pare-feu VM-Series de Palo Alto Networks propose trois options de déploiement : Unique, redondant et en cluster. Les options de configuration décrites ci-dessous s'appliquent aux configurations unique et redondante. Les options de configuration du cluster se trouvent sur création d'un pare-feu Clustered VM-Series

Options de connectivité

La fonctionnalité type de connectivité est disponible pour le pare-feu Palo Alto Networks VM-Series. Cette fonctionnalité fournit des options pour inclure une interface virtuelle avec ou sans adresse IP publique de Equinix. L'option de création d'un VNF sans adresse IP publique répond au cas d'utilisation où le périphérique virtuel peut devoir être isolé d'Internet. Les utilisateurs peuvent ensuite gérer les périphériques à partir de leur réseau privé ou de leur connexion virtuelle.

Le tableau suivant résume les options de type de connectivité et la différence entre les deux options.

Type de connectivité	Avec adresse IP publique Equinix	Sans adresse IP publique Equinix
Cas d'utilisation	Cette option est fournie avec les adresses IP publiques d'Equinix et ne nécessite pas de connexion virtuelle supplémentaire pour gérer le dispositif virtuel.	Cette option supprime l'attribution d'adresses IP publiques de source Equinix et sépare le VNF d'Internet après la création du périphérique. Si le périphérique doit être géré par un logiciel exécuté dans la cage Colo ou via une connexion virtuelle privée, cette option est recommandée.
Connectivité Internet	Les adresses IP publiques de Equinix sont attribuées aux interfaces suivantes et accessibles depuis Internet : Gestion (MGMT), Ethernet 1/1 (WAN).	Aucune adresse IP publique de Equinix incluse. Cette option nécessite une connexion virtuelle distincte de votre fournisseur d'accès réseau (NSP) ou de votre fournisseur d'accès Internet (FAI). Voir Bring Your Own Connection - Remote Fabric Port pour plus d'informations.
Liste de contrôle d'accès	Créez une liste de contrôle d'accès (ACL) pour limiter le trafic vers l'interface de gestion VNF (MGMT) ou WAN.	L'option ACL n'est pas disponible. Des contrôles de compensation supplémentaires peuvent être mis en oeuvre pour le trafic provenant de n'importe quelle connexion virtuelle privée.
Accès SSH	Utilisez l'interface Ethernet 1/1 (WAN) pour l'accès SSH. Vous devez générer une clé publique RSA pour l'accès SSH et la configurer dans le workflow de création de périphérique (obligatoire).	Aucun accès SSH par défaut. Vous devez créer un nom d'utilisateur pour accéder au périphérique. Une option consiste à générer une clé publique RSA pour l'accès SSH et à la configurer. Établissez la connectivité Internet via votre NSP ou votre FAI.
Gestion des appareils	Pour les périphériques uniques/redondants, Management (MGMT) est mappé sur l'accès Panorama par défaut. Utilisez la fonction Service route pour effectuer une nouvelle correspondance avec l'interface différente.	Une connexion virtuelle (via l'option BYOC) doit d'abord être attribuée à l'interface de gestion (MGMT) pour l'accessibilité Panorama pour les déploiements simples et redondants.
Enregistrement de la licence	Fournissez le code Authcode pendant le flux de travail de création de périphérique. Le code Authcode sera enregistré automatiquement lorsque le périphérique virtuel atteindra le serveur d'enregistrement de licences Palo Alto Network.	Aucun code d'auteur n'est requis pendant le flux de travail de création de périphérique. L'utilisateur est responsable de l'enregistrement de la licence à l'aide d'un accès Internet via une connexion virtuelle privée (enregistrement de licence en ligne) ou une licence en mode hors ligne.

Configuration de votre appareil sans adresse IP publique Equinix

Si vous créez votre pare-feu série VM sans adresse IP publique Equinix , le VNF est provisionné sans adresse IP publique sur l'interface WAN ou de gestion. Vous êtes responsable de la configuration de l'enregistrement de la licence, de la configuration du réseau superposé et du regroupement (facultatif).

Lors de la saisie des détails du périphérique , sélectionnez l'une des options d'adresse IP suivantes :

• DHCP - un protocole de gestion de réseau qui attribue automatiquement des adresses IP.
• Adresse IP statique - entrez l'adresse IP, le masque de sous-réseau et la passerelle par défaut.

Configuration de l'interface de gestion

Voici un exemple de configuration, à titre de référence seulement, pour la configuration de l'interface de gestion.

Commandes:

set deviceconfig system type static
set deviceconfig system ip-address x.x.x.x
set deviceconfig system netmask y.y.y.y
set deviceconfig system default-gateway z.z.z.z

Enregistrement de la licence

Vous êtes responsable de l'ajout manuel de la licence au périphérique. Vous devriez déjà avoir accès au Portail d'assistance à la clientèle de Palo Alto Networks (Portail de licences), où vous pouvez enregistrer votre appareil à l'aide des informations UUID et CPU-ID. Utilisez la clé de licence du portail pour ajouter la licence sur l'appareil. La documentation d'activation de licence est disponible dans la documentation de Palo Alto Networks.

Scénarios de déploiement

Scénario 1 : Gérer le pare-feu à partir de Colocation (enregistrement de licence hors ligne) où l'interface de gestion est accessible uniquement à partir du réseau connecté à Colocation Space enregistrement de licence hors ligne.

1. Créez un pare-feu VNF série VM sans adresse IP publique Equinix dans le portail Network Edge.
2. Connectez-vous aux consoles VNF primaire et secondaire avec votre nom d'utilisateur et votre mot de passe.
3. Créez une connexion virtuelle du VNF vers la colocation sur la première interface (interface de gestion).
4. Attribuez une adresse IP à l'interface de gestion sur les deux VNF.
5. Confirmer la possibilité d'accéder à l'IP à partir des dispositifs situés dans l'espace de colocation.
6. Accédez à la VNF à l'aide de SSH à partir d'un appareil situé dans l'espace de colocation.
7. Identifier l'ID CPU et l'UUID pour le VNF.
8. Accédez au portail d'assistance à la clientèle de Palo Alto Networks (portail de licences) et générez deux licences identiques pour les VNF.
9. Appliquez la licence en mode hors ligne aux deux VNF.
10. (Facultatif) vous pouvez gérer le VNF à partir du logiciel de gestion Panorama configuré dans l'espace Colocation.
11. Créez les connexions virtuelles vers les fournisseurs de services en nuage (CSP) à partir des interfaces restantes.
12. Continuer à utiliser la gestion des appareils hors ligne pour les mises à jour logicielles.

Scénario 2 : Gérer le pare-feu à partir d'un réseau NSP (enregistrement de licence en ligne) où l'interface de gestion est accessible à partir de la connexion virtuelle NSP ou de l'interface connectée BYOC. Enregistrement de licence en ligne.

1. Créez un pare-feu VNF série VM sans adresse IP publique Equinix dans le portail Network Edge.
2. Connectez-vous aux consoles VNF primaire et secondaire avec votre nom d'utilisateur et votre mot de passe.
3. Créer une connexion virtuelle entre le VNF et le NSP sur la première interface (interface de gestion).
4. Attribuez une adresse IP à l'interface de gestion sur les deux VNF.
5. Confirmer la joignabilité IP des appareils du réseau du PSN.
6. Accéder à la VNF en utilisant SSH à partir d'un appareil dans le réseau NSP.
7. Accédez au portail de support client de Palo Alto Networks (portail de licence) et générez une licence et un code d'authentification pour cette VNF.
8. Appliquez le même code d'authentification aux deux VNF.
9. (Facultatif) vous pouvez gérer le VNF à partir du logiciel de gestion Panorama configuré dans le réseau NSP.
10. Créer des connexions virtuelles vers les CSP à partir des interfaces restantes.

Activation du mode FIPS

Par défaut, le mode FIPS n'est pas activé sur les périphériques de pare-feu virtuel Palo Alto Networks, vous devrez donc l'activer.

Prérequis:

• Accès GUI et SSH à l'interface de gestion du pare-feu via IP publique ou Colo.
• Accès console au périphérique virtuel.
• Machine virtuelle Palo Alto sans licence ; une fois FIPS activé, vous devez charger la licence manuellement.
• Sauvegarde de la configuration de l'appareil.
• Une solide compréhension des opérations du pare-feu Palo Alto .
• Le mot de passe administrateur doit être crypté SHA256.
• SSH doit être disponible pour l'appareil sur l'interface de gestion.
• L'OTP sera obligatoire pour le mode FIPS.

1. Connectez-vous à l'appareil via la console.

2. Accédez à l'outil de récupération de maintenance (MRT). L'appareil prendra quelques minutes pour démarrer sur MRT.

3. Dans le MRT, sélectionnez Set FIPS--CC mode. Laissez les valeurs par défaut et sélectionnez Enable FIPS-CC Mode et appuyez sur entrée. Le nettoyage n'est pas recommandé pour le moment.

4. Redémarrez l'appareil.

5. Connectez-vous en SSH à l'appareil et supprimez la configuration par défaut suivante.

   Pour la CLI, le message suivant s'affichera lors de la connexion.

   **** FIPS-CC MODE ENABLED ****

   delete network ike crypto-profiles ike-crypto-profiles default encryption aes-128-cbc
   delete network ike crypto-profiles ike-crypto-profiles default encryption
   set network ike crypto-profiles ike-crypto-profiles default encryption aes-256-cbc
   delete network ike crypto-profiles ike-crypto-profiles default dh-group
   set network ike crypto-profiles ike-crypto-profiles default dh-group group19
   
   delete network ike crypto-profiles ipsec-crypto-profiles default esp encryption
   set network ike crypto-profiles ipsec-crypto-profiles default esp encryption aes-256-cbc
   delete network ike crypto-profiles ipsec-crypto-profiles default dh-group
   
   commit force

6. Connectez-vous à l'interface graphique du périphérique. Le mode FIPS-CC doit s'afficher sur la page de connexion initiale et en permanence dans la barre d'état en bas de l'interface Web.

7. Charger la licence.

   request license fetch auth-code <auth-code>