Mục Lục:
I. Giới thiệu về mô hình bài Lab
II. Cấu hình User-ID tích hợp với LDAP trên PAN VM-series
III. Kiểm tra hoạt động User-ID với LDAP
Lưu ý: tất cả các thiết bị Palo Alto trong chuổi series này đều được dựng ảo hóa hoàn toàn trên VMware và sử dụng license trial của Palo Alto cung cấp (phiên bản Palo Alto VM-series là 10.2.5.vm_eval)
I. Giới thiệu về mô hình bài Lab
Mô hình bài Lab bao gồm các thành phần như: Switch, WEB server, DNS server, AD server, PAN VM-series và các PC người dùng được phân chia làm các subnet:
Yêu cầu của bài Lab:
II. Cấu hình User-ID tích hợp với LDAP trên PAN VM-series
Quy trình sau đây mô tả cách định cấu hình tác nhân User-ID tích hợp PAN-OS trên tường lửa để ánh xạ địa chỉ IP đến tên người dùng. Tác nhân User-ID tích hợp thực hiện các tác vụ tương tự như tác nhân dựa trên Windows ngoại trừ việc thăm dò máy khách NetBIOS (việc thăm dò WMI được hỗ trợ).
Để tìm hiểu chi tiết cách thức hoạt động của user-id thông qua user-id agent tích hợp sẵn trên Firewall Palo Alto có thể tham khảo hình bên dưới, về cơ bản sẽ có các bước sau:
I. Giới thiệu về mô hình bài Lab
II. Cấu hình User-ID tích hợp với LDAP trên PAN VM-series
III. Kiểm tra hoạt động User-ID với LDAP
[LAB-22] Cấu hình User-ID tích hợp với LDAP trên PAN VM-series
Lưu ý: tất cả các thiết bị Palo Alto trong chuổi series này đều được dựng ảo hóa hoàn toàn trên VMware và sử dụng license trial của Palo Alto cung cấp (phiên bản Palo Alto VM-series là 10.2.5.vm_eval)
I. Giới thiệu về mô hình bài Lab
Mô hình bài Lab bao gồm các thành phần như: Switch, WEB server, DNS server, AD server, PAN VM-series và các PC người dùng được phân chia làm các subnet:
- Outside network: 10.120.190.0/24
- User network: 172.16.198.0/24 và 172.16.199.0/24
- Server network: 172.16.100.0/24 và 172.16.10.0/24
Yêu cầu của bài Lab:
- Cấu hình tạo account và WMI permission trên AD để cho phép Palo Alto lấy thông tin login của User từ đó mapping IP với user.
- Cấu hình LDAP server và tích hợp với Firewall Palo Alto để tiến hành monitor và mapping thông tin user với IP.
- Cấu hình mapping group user với LDAP server (172.16.100.100) từ đó tiến hành cấu hình Security Policy để chặn user thuộc group "staff" trên AD (bao gồm user01 và user02 thuộc subnet 172.16.198.0/24 và 172.16.199.0/24) truy cập URL "vnexpress.net".
II. Cấu hình User-ID tích hợp với LDAP trên PAN VM-series
Quy trình sau đây mô tả cách định cấu hình tác nhân User-ID tích hợp PAN-OS trên tường lửa để ánh xạ địa chỉ IP đến tên người dùng. Tác nhân User-ID tích hợp thực hiện các tác vụ tương tự như tác nhân dựa trên Windows ngoại trừ việc thăm dò máy khách NetBIOS (việc thăm dò WMI được hỗ trợ).
- Tạo tài khoản dịch vụ Active Directory cho User-ID tích hợp PAN-OS để truy cập vào các dịch vụ và máy chủ mà tường lửa sẽ giám sát nhằm thu thập thông tin ánh xạ người dùng.
- Xác định các máy chủ mà tường lửa sẽ giám sát để thu thập thông tin mapping của người dùng.
- Chỉ định các subnet mà User-ID tích hợp PAN-OS sẽ bao gồm hoặc loại trừ khỏi ánh xạ người dùng.
- Cấu hình thông tin xác thực tên miền cho tài khoản mà tường lửa sẽ sử dụng để truy cập tài nguyên Windows. Điều này là cần thiết để giám sát các máy chủ Exchange và bộ điều khiển miền cũng như để thăm dò WMI.
- Kiểm tra cấu hình bằng lệnh <show user server-monitor state all> hoặc thông qua GUI.
Để tìm hiểu chi tiết cách thức hoạt động của user-id thông qua user-id agent tích hợp sẵn trên Firewall Palo Alto có thể tham khảo hình bên dưới, về cơ bản sẽ có các bước sau:
- Khi người dùng đã Join domain tiến hành login vào thiết bị thì sẽ có event login trên Active Directory.
- Firewall Palo Alto sẽ query thông tin event login trên AD thông qua kết nối WMI tới AD từ đó có thể mapping được thông tin của user và IP và lưu vào bảng user-id. Cùng lúc đó Firewall Palo Alto cũng tiến hành Group Mapping các user thông qua LDAP để sử dụng cho việc cấu hình Security Policy.
- Khi người dùng truy cập traffic qua Firewall lúc này Firewall sẽ sử dụng thông tin trong bảng user-id và Security Policy để quyết định có cho phép người dùng đi qua hay không. (giao tiếp này là giao tiếp 2 chiều)
- Nếu được cho phép Firewall sẽ tiến hanh forward traffic đó ra bên ngoài. (giao tiếp này là giao tiếp 2 chiều)
| 
|
| 
|
III. Kiểm tra hoạt động User-ID với LDAP
Attachments
Last edited:
