Création d'un pare-feu VM-Series de Palo Alto Networks

Si vous utilisez l'application Panorama pour gérer vos appareils, vous devrez saisir l'adresse IP Panorama et la clé d'authentification **** lors de la création de l'appareil. La prise en charge de Panorama n'est offerte que pour les versions 10.1.12 et supérieures.

Le pare-feu VM-Series de Palo Alto Networks offre trois options de déploiement : Simple, Redondant et Cluster. Les options de configuration décrites ci-dessous s'appliquent aux configurations simples et redondantes. Les options de configuration en cluster se trouvent sur Creating a Clustered VM-Series Firewall

Options de connectivité

La fonctionnalité type de connectivité est disponible pour le pare-feu Palo Alto Networks VM-Series. Cette fonctionnalité fournit des options pour inclure une interface virtuelle avec ou sans adresse IP publique de Equinix. L'option de création d'un VNF sans adresse IP publique répond au cas d'utilisation où le périphérique virtuel peut devoir être isolé d'Internet. Les utilisateurs peuvent ensuite gérer les périphériques à partir de leur réseau privé ou de leur connexion virtuelle.

Le tableau suivant résume les options de type de connectivité et la différence entre les deux options.

Type de connectivité	Avec l'adresse IP publique d'Equinix	Sans adresse IP publique Equinix
Cas d'utilisation	Cette option est fournie avec les adresses IP publiques d'Equinix et ne nécessite pas de connexion virtuelle supplémentaire pour gérer le dispositif virtuel.	Cette option supprime l'attribution de l'adresse IP publique fournie par Equinix et sépare la VNF d'Internet après la création du dispositif. Si le dispositif doit être géré par un logiciel s'exécutant dans la cage du Colo ou par le biais d'une connexion virtuelle privée, cette option est recommandée.
Connectivité Internet	Les adresses IP publiques d'Equinix sont attribuées aux interfaces suivantes et accessibles depuis Internet : Gestion (MGMT), Ethernet 1/1 (WAN).	Aucune adresse IP publique de Equinix incluse. Cette option nécessite une connexion virtuelle distincte de votre fournisseur d'accès réseau (NSP) ou de votre fournisseur d'accès Internet (FAI). Voir Bring Your Own Connection - Remote Fabric Port pour plus d'informations.
Liste de contrôle d'accès	Créez une liste de contrôle d'accès (ACL) pour limiter le trafic vers l'interface VNF Management (MGMT) ou WAN.	L'option ACL n'est pas disponible. Des contrôles compensatoires supplémentaires peuvent être mis en œuvre pour le trafic provenant de n'importe quelle connexion virtuelle privée.
Accès SSH	Utilisez l'interface Ethernet 1/1 (WAN) pour l'accès SSH. Vous devez générer une clé publique RSA pour l'accès SSH et la configurer dans le workflow de création de périphérique (obligatoire).	Aucun accès SSH par défaut. Vous devez créer un nom d'utilisateur pour accéder au périphérique. Une option consiste à générer une clé publique RSA pour l'accès SSH et à la configurer. Établissez la connectivité Internet via votre NSP ou votre FAI.
Gestion des appareils	Pour les périphériques uniques/redondants, Management (MGMT) est mappé sur l'accès Panorama par défaut. Utilisez la fonction Service route pour effectuer une nouvelle correspondance avec l'interface différente.	Une connexion virtuelle (via l'option BYOC) doit d'abord être attribuée à l'interface de gestion (MGMT) pour permettre l'accès à Panorama dans le cas de déploiements simples et redondants.
Enregistrement de la licence	Fournissez l'AuthCode pendant le processus de création du périphérique. L'AuthCode sera enregistré automatiquement lorsque le périphérique virtuel se connectera au serveur d'enregistrement des licences de Palo Alto Network.	Aucun code d'authentification n'est requis lors de la création du périphérique. L'utilisateur est responsable de l'enregistrement de la licence via Internet à l'aide d'une connexion virtuelle privée (enregistrement de licence en ligne) ou en mode hors ligne.

Configuration de votre appareil sans adresse IP publique Equinix

Si vous créez votre pare-feu série VM sans adresse IP publique Equinix , le VNF est provisionné sans adresse IP publique sur l'interface WAN ou de gestion. Vous êtes responsable de la configuration de l'enregistrement de la licence, de la configuration du réseau superposé et de la mise en grappe (facultative).

Lorsque vous entrez dans Device Details, sélectionnez l'une des options d'adresse IP suivantes :

• DHCP - protocole de gestion de réseau qui attribue automatiquement des adresses IP.
• Adresse IP statique - entrez l'adresse IP, le masque de sous-réseau et la passerelle par défaut.

Configuration de l'interface de gestion

Vous trouverez ci-dessous un exemple de configuration de référence pour la mise en place de l'interface de gestion.

Commandes :

set deviceconfig system type static
set deviceconfig system ip-address x.x.x.x
set deviceconfig system netmask y.y.y.y
set deviceconfig system default-gateway z.z.z.z

Enregistrement de la licence

Vous êtes responsable de l'ajout manuel de la licence sur l'appareil. Vous devriez déjà avoir accès au portail d'assistance clientèle de Palo Alto Networks (portail des licences), où vous pouvez enregistrer votre appareil à l'aide des informations UUID et CPU-ID. Veuillez utiliser la clé de licence fournie sur le portail pour ajouter la licence sur l'appareil. La documentation relative à l'activation de la licence est disponible dans la documentation Palo Alto Networks.

Scénarios de déploiement

Scénario 1 : Gestion du pare-feu depuis la colocation (enregistrement de licence hors ligne) où l'interface de gestion n'est accessible que depuis le réseau connecté à l'espace de colocation Enregistrement de licence hors ligne.

1. Créez un VNF de pare-feu VM-Series Sans adresse IP publique Equinix dans le portail Network Edge.
2. Connectez-vous aux consoles VNF primaire et secondaire avec votre nom d'utilisateur et votre mot de passe.
3. Créez une connexion virtuelle entre le VNF et la colocation sur la première interface (interface de gestion).
4. Attribuez une adresse IP à l'interface de gestion sur les deux VNF.
5. Confirmer la possibilité d'accéder à l'IP à partir des dispositifs situés dans l'espace de colocation.
6. Accédez à la VNF à l'aide de SSH à partir d'un appareil situé dans l'espace de colocation.
7. Identifier l'ID CPU et l'UUID pour le VNF.
8. Accédez au portail d'assistance à la clientèle de Palo Alto Networks (portail de licences) et générez deux licences identiques pour les VNF.
9. Appliquez la licence de mode hors ligne **** aux deux VNF.
10. Vous pouvez gérer la VNF à partir du logiciel de gestion Panorama configuré dans l'espace de colocation.
11. Créez les connexions virtuelles vers les fournisseurs de services en nuage (CSP) à partir des interfaces restantes.
12. Continuer à utiliser la gestion des appareils hors ligne pour les mises à jour logicielles.

Scénario 2 : Gestion du pare-feu à partir d'un réseau NSP (enregistrement de licence en ligne) où l'interface de gestion est accessible à partir de la connexion virtuelle NSP ou de l'interface connectée BYOC. Enregistrement de la licence en ligne sur.

1. Créez un VNF de pare-feu VM-Series Sans adresse IP publique Equinix dans le portail Network Edge.
2. Connectez-vous aux consoles VNF primaire et secondaire avec votre nom d'utilisateur et votre mot de passe.
3. Créer une connexion virtuelle entre le VNF et le NSP sur la première interface (interface de gestion).
4. Attribuez une adresse IP à l'interface de gestion sur les deux VNF.
5. Confirmer la joignabilité IP des appareils du réseau du PSN.
6. Accéder à la VNF en utilisant SSH à partir d'un appareil dans le réseau NSP.
7. Accédez au portail de support client de Palo Alto Networks (portail de licence) et générez une licence et un code d'authentification pour ce VNF.
8. Appliquez le même code d'authentification aux deux VNF.
9. Vous pouvez gérer la VNF à partir du logiciel de gestion Panorama configuré dans le réseau NSP.
10. Créer des connexions virtuelles vers les CSP à partir des interfaces restantes.

Activation du mode FIPS

Par défaut, le mode FIPS n'est pas activé sur les dispositifs de pare-feu virtuels Palo Alto Networks.

Prérequis :

• Accès GUI et SSH à l'interface de gestion du pare-feu via une adresse IP publique ou Colo.
• Accès à la console du périphérique virtuel.
• VM Palo Alto sans licence ; une fois FIPS activé, vous devez charger la licence manuellement.
• Sauvegarde de la configuration de l'appareil.
• Une solide compréhension du fonctionnement du pare-feu Palo Alto.
• Le mot de passe administrateur doit être crypté en SHA256.
• SSH doit être accessible à l'appareil sur l'interface de gestion.
• L'OTP sera obligatoire pour le mode FIPS.

1. Connectez-vous à l'appareil via la console.

2. Enter the Maintenance Recovery Tool (MRT). The device will take few minutes to boot to MRT.

3. Dans le MRT, sélectionnez Set FIPS--CC mode. Laissez les valeurs par défaut et sélectionnez Enable FIPS-CC Mode et appuyez sur entrée. Le nettoyage n'est pas recommandé pour le moment.

4. Redémarrer l'appareil.

5. Connectez-vous en SSH à l'appareil et supprimez la configuration par défaut suivante.

   Pour CLI, le message suivant s'affichera lors de la connexion.

   **** FIPS-CC MODE ENABLED ****

   delete network ike crypto-profiles ike-crypto-profiles default encryption aes-128-cbc
   delete network ike crypto-profiles ike-crypto-profiles default encryption
   set network ike crypto-profiles ike-crypto-profiles default encryption aes-256-cbc
   delete network ike crypto-profiles ike-crypto-profiles default dh-group
   set network ike crypto-profiles ike-crypto-profiles default dh-group group19
   
   delete network ike crypto-profiles ipsec-crypto-profiles default esp encryption
   set network ike crypto-profiles ipsec-crypto-profiles default esp encryption aes-256-cbc
   delete network ike crypto-profiles ipsec-crypto-profiles default dh-group
   
   commit force

6. Se connecter à l'interface graphique de l'appareil. Le mode FIPS-CC doit être affiché sur la page de connexion initiale et à tout moment dans la barre d'état située en bas de l'interface web.

7. Charger la licence.

   request license fetch auth-code <auth-code>