Palo Alto [Lab_02] - Cấu hình mạng và Security Zone cho Network Interface

Xin chào mọi người, ở bài viết trước, chúng ta đã cài đặt thành công và cấu hình các thông tin cơ bản (hostname, DNS,...) cho PAN Firewall. Ở bài viết này, mình sẽ cùng tìm hiểu và cấu hình mạng và security zones cho các interface của PAN Firewall.


Mục lục
I. Network/Firewall Interface
II. Security Zone
III. Tổng kết


Mô hình mạng sử dụng trong bài lab:



I. Network/Firewall Interface
1. Tổng quan về interface
Các data ports trên Firewall Palo Alto có vai trò xử lý lưu lượng vào và ra thiết bị. Firewall có thể hoạt động đồng thời ở nhiều mô hình triển khai khác nhau nhờ khả năng cấu hình đa dạng trên từng interface. Cụ thể, một interface Ethernet có thể được cấu hình ở các chế độ: Tap, Virtual Wire, Layer 2, Layer 3, hoặc Decrypt Mirror tùy theo yêu cầu. Các loại interface mà PAN-OS hỗ trợ:​

PAN-OS hỗ trợ nhiều loại Ethernet interface như Tap, Virtual Wire, Layer 2, Layer 3 và HA. Mỗi firewall có thể được cấu hình nhiều loại interface khác nhau để đáp ứng các yêu cầu triển khai trong mạng (ví dụ dùng Tap để giám sát, Layer 3 để định tuyến, Virtual Wire để triển khai inline mà không cần IP,…).



Ngoài các interface chính ra, còn có một số interface đáng chú ý sau:​

Tham khảo thêm: https://docs.paloaltonetworks.com/p...twork-interfaces/firewall-interfaces-overview

2. Cấu hình interface
Truy cập đến Network > Interface, sau đó chọn vào interface muốn cấu hình:



Cấu hình interface OUTSIDE như sau:​

Tạo tương tự với interface INSIDE:




II. Cấu hình Security Zone
1. Tổng quan về zone
Security Zone là một khái niệm logic dùng để nhóm các physical interface và virtual interface trên Firewall Palo Alto Networks nhằm kiểm soát, bảo mật và ghi log lưu lượng đi qua các interface đó.

Một interface trên firewall để hoạt động được phải được gán vào một security zone. Một zone có thể có nhiều interface cùng loại gán vào nó (Tap, L2, L3 interfaces), nhưng một interface chỉ có thể thuộc về một zone.
​

2. Cấu hình zone
Truy cập đến Network > Zones, sau đó chọn "Add" để thêm zone mới:



Cấu hình Zone như sau:​

Tạo tương tự cho zone INSIDE, sau khi cấu hình các interface được chọn lúc cấu hình sẽ tự động gán zone tương ứng.



Lúc này, khi quay lại tab Interface ta thấy 2 interface vừa được cấu hình ip và zone đã được bật lên và có thể nhận traffic đi qua.



III. Tổng kết
Trong bài viết này, chúng ta đã tìm hiểu về vai trò và cách cấu hình các interface, zone trên Palo Alto Network Firewall - yếu tố quan trọng quyết định hướng xử lý và kiểm soát lưu lượng của firewall.

Sau khi hoàn thành cấu hình phần này, firewall đã sẵn sàng để xử lý, kiểm soát và ghi log traffic giữa các vùng mạng.



Mình cảm ơn mọi người đã theo dõi bài viết của mình !​