1. Mô hình Lab
Thêm 1 Firewall Palo Alto.
Thêm 1 máy Windows quản trị, kết nối trực tiếp vào cổng mgmt của firewall. Thêm 1 Node Network hướng ra Internet, kết nối vào eth1/1 (Vùng Outside).
Thêm 1 Switch trung tâm nối với 2 máy VPC (đại diện VLAN 10 và 20), kết nối vào eth1/2 (Vùng Inside).
Thêm 1 Switch nối với máy chủ Windows Server, kết nối vào eth1/3 (Vùng DMZ).
2. Cấu hình IP Management (Qua CLI)
2.1. Khởi động node Palo Alto:
Đợi khoảng 5-15 phút để tiến trình boot hoàn tất.
Mở Console của thiết bị.
Đăng nhập bằng tài khoản mặc định admin / admin (hệ thống sẽ yêu cầu đổi mật khẩu ở lần đầu tiên).
2.2. Cấu hình IP tĩnh để truy cập Web GUI:
configure
set deviceconfig system type static
set deviceconfig system ip-address 192.168.1.1 netmask 255.255.255.0
commit
exit
3. Khai báo Zone và Cấu hình Interface (Qua Web GUI)
3.1. Truy cập hệ thống:
Mở trình duyệt trên máy quản trị.
Truy cập vào [https://192.168.1.10](https://192.168.1.10) và đăng nhập.
3.2. Tạo Security Zones:
Chuyển đến tab Network > Zones > nhấn Add.
Tạo lần lượt 3 vùng: Outside, Inside, DMZ.
Chọn Type là Layer 3 cho tất cả các vùng. Nhấn OK.
3.3. Cấu hình Cổng Outside (eth1/1):
Đổi Interface Type thành Layer 3.
Tab IPv4: Gán IP tĩnh (VD: 10.120.170.100/24).
Tab Config: Gán Zone là Outside. Nhấn OK.
3.4. Cấu hình Cổng DMZ (eth1/3):
Đổi Interface Type thành Layer 3.
Tab IPv4: Gán IP làm Gateway cho server nội bộ (VD: 172.16.1.254/24).
Tab Config: Gán Zone là DMZ. Nhấn OK.
3.5. Cấu hình Cổng Inside - Router on a Stick (eth1/2):
Đổi cổng chính thành Layer 3 (không đặt IP).
Nhấn Add Subinterface để tạo nhánh VLAN 10 (eth1/2.10): Nhập Tag 10, Zone Inside, IPv4 10.10.10.254/24. Nhấn OK.
Nhấn Add Subinterface để tạo nhánh VLAN 20 (eth1/2.20): Nhập Tag 20, Zone Inside, IPv4 10.10.20.254/24. Nhấn OK.
4. Thiết lập Virtual Router và Static Route
4.1. Thêm cổng vào VR:
Chuyển đến Network > Virtual Routers.
Chọn router default.
Tab Router Settings: Thêm các cổng eth1/1, eth1/3, eth1/2.10, eth1/2.20 vào danh sách.
4.2. Định tuyến ra Internet:
Chuyển sang tab Static Routes > nhấn Add.
Name: Default-Route.
Destination: 0.0.0.0/0.
Interface: Chọn ethernet1/1.
Next Hop: Chọn IP Address và nhập IP Gateway của mạng Cloud bên ngoài (VD: 10.120.170.250). Nhấn OK.
5. Cấu hình NAT và Security Policy
5.1. Cấu hình NAT Policy.
Chuyển đến tab Policies > NAT > nhấn Add.
General: Đặt tên NAT-Internet.
Original Packet: Thêm zone Inside và DMZ vào phần Source. Chọn Outside cho phần Destination. Chọn ethernet1/1 cho Destination Interface.
Translated Packet: Chọn Translation Type là Dynamic IP and Port. Address Type là Interface Address. Interface chọn ethernet1/1. Nhấn OK
5.2. Cấu hình Security Policy.
Chuyển đến tab Policies > Security > nhấn Add.
General: Đặt tên Allow-to-Internet.
Source: Thêm zone Inside, DMZ.
Destination: Thêm zone Outside.
Action: Đảm bảo đang chọn Allow. Nhấn OK.
5.3. Áp dụng cấu hình:
Nhấn nút Commit ở góc trên cùng bên phải để thiết bị lưu toàn bộ thay đổi.
6. Kiểm tra luồng mạng (Testing)
6.1. Thiết lập IP:
Đặt IP tĩnh và Default Gateway trên các máy VPC và Windows Server.
Đảm bảo Gateway trỏ về đúng dải IP của các cổng phụ và cổng DMZ trên firewall.
6.2. Kiểm tra Ping:
Mở CMD từ máy VPC, thực hiện lệnh ping 8.8.8.8.
Kiểm tra kết quả trả về để xác nhận luồng định tuyến và NAT đã thông suốt.
Thêm 1 Firewall Palo Alto.
Thêm 1 máy Windows quản trị, kết nối trực tiếp vào cổng mgmt của firewall. Thêm 1 Node Network hướng ra Internet, kết nối vào eth1/1 (Vùng Outside).
Thêm 1 Switch trung tâm nối với 2 máy VPC (đại diện VLAN 10 và 20), kết nối vào eth1/2 (Vùng Inside).
Thêm 1 Switch nối với máy chủ Windows Server, kết nối vào eth1/3 (Vùng DMZ).
2. Cấu hình IP Management (Qua CLI)
2.1. Khởi động node Palo Alto:
Đợi khoảng 5-15 phút để tiến trình boot hoàn tất.
Mở Console của thiết bị.
Đăng nhập bằng tài khoản mặc định admin / admin (hệ thống sẽ yêu cầu đổi mật khẩu ở lần đầu tiên).
2.2. Cấu hình IP tĩnh để truy cập Web GUI:
configure
set deviceconfig system type static
set deviceconfig system ip-address 192.168.1.1 netmask 255.255.255.0
commit
exit
3. Khai báo Zone và Cấu hình Interface (Qua Web GUI)
3.1. Truy cập hệ thống:
Mở trình duyệt trên máy quản trị.
Truy cập vào [https://192.168.1.10](https://192.168.1.10) và đăng nhập.
3.2. Tạo Security Zones:
Chuyển đến tab Network > Zones > nhấn Add.
Tạo lần lượt 3 vùng: Outside, Inside, DMZ.
Chọn Type là Layer 3 cho tất cả các vùng. Nhấn OK.
3.3. Cấu hình Cổng Outside (eth1/1):
Đổi Interface Type thành Layer 3.
Tab IPv4: Gán IP tĩnh (VD: 10.120.170.100/24).
Tab Config: Gán Zone là Outside. Nhấn OK.
3.4. Cấu hình Cổng DMZ (eth1/3):
Đổi Interface Type thành Layer 3.
Tab IPv4: Gán IP làm Gateway cho server nội bộ (VD: 172.16.1.254/24).
Tab Config: Gán Zone là DMZ. Nhấn OK.
3.5. Cấu hình Cổng Inside - Router on a Stick (eth1/2):
Đổi cổng chính thành Layer 3 (không đặt IP).
Nhấn Add Subinterface để tạo nhánh VLAN 10 (eth1/2.10): Nhập Tag 10, Zone Inside, IPv4 10.10.10.254/24. Nhấn OK.
Nhấn Add Subinterface để tạo nhánh VLAN 20 (eth1/2.20): Nhập Tag 20, Zone Inside, IPv4 10.10.20.254/24. Nhấn OK.
4. Thiết lập Virtual Router và Static Route
4.1. Thêm cổng vào VR:
Chuyển đến Network > Virtual Routers.
Chọn router default.
Tab Router Settings: Thêm các cổng eth1/1, eth1/3, eth1/2.10, eth1/2.20 vào danh sách.
4.2. Định tuyến ra Internet:
Chuyển sang tab Static Routes > nhấn Add.
Name: Default-Route.
Destination: 0.0.0.0/0.
Interface: Chọn ethernet1/1.
Next Hop: Chọn IP Address và nhập IP Gateway của mạng Cloud bên ngoài (VD: 10.120.170.250). Nhấn OK.
5. Cấu hình NAT và Security Policy
5.1. Cấu hình NAT Policy.
Chuyển đến tab Policies > NAT > nhấn Add.
General: Đặt tên NAT-Internet.
Original Packet: Thêm zone Inside và DMZ vào phần Source. Chọn Outside cho phần Destination. Chọn ethernet1/1 cho Destination Interface.
Translated Packet: Chọn Translation Type là Dynamic IP and Port. Address Type là Interface Address. Interface chọn ethernet1/1. Nhấn OK
Chuyển đến tab Policies > Security > nhấn Add.
General: Đặt tên Allow-to-Internet.
Source: Thêm zone Inside, DMZ.
Destination: Thêm zone Outside.
Action: Đảm bảo đang chọn Allow. Nhấn OK.
5.3. Áp dụng cấu hình:
Nhấn nút Commit ở góc trên cùng bên phải để thiết bị lưu toàn bộ thay đổi.
6. Kiểm tra luồng mạng (Testing)
6.1. Thiết lập IP:
Đặt IP tĩnh và Default Gateway trên các máy VPC và Windows Server.
Đảm bảo Gateway trỏ về đúng dải IP của các cổng phụ và cổng DMZ trên firewall.
6.2. Kiểm tra Ping:
Mở CMD từ máy VPC, thực hiện lệnh ping 8.8.8.8.
Kiểm tra kết quả trả về để xác nhận luồng định tuyến và NAT đã thông suốt.
Bài viết liên quan
Bài viết mới