- 限定コンテンツへのアクセス
- 他ユーザーとのつながり
- あなたの体験を共有
- サポート情報の発見
Enhanced Security Measures in Place: To ensure a safer experience, we’ve implemented additional, temporary security measures for all users.
パロアルトネットワークス次世代ファイアウォールにはGlobalProtectというVPN機能が利用可能です。WindowsおよびMacOSにてVPN接続の基本機能だけであれば追加ライセンスなく、標準機能として設定すればご利用いただけます。
スマートデバイスからのVPN接続、DNSドメインベースのスプリットトンネル、HIP機能、IPv6などの基本機能以外を利用する場合にはGlobalProtectの追加ライセンスが必要です。詳細は下記のサイトをご覧ください。
このGlobalProtectの導入するための設計方法とセキュリティプロファイルの適応に関しての注意点があります。
VPN機能は一般的にインターネットから利用するケースがほとんどであり、固定グローバルIPアドレスをPAシリーズのインターフェースに設定し、そのインターフェースにGlobalProtectのポータルやゲートウェイの設定を行われています。しかし、この設定を行った場合、以下の懸念点があります。
■懸念点:固定のグローバルIPおよびゾーン(ここではuntrustとします) をインターネットが接続されているインターフェースに設定しますが、このインターフェースに設定した固定グローバルIPアドレスを利用してGlobalProtectのポータルやゲートウェイ設定を行っている場合、インターネットからこれらの固定グローバルIPアドレスへの通信はuntrustからuntrustへのゾーン内の通信となり、明示的な許可ルールを設定しなくとも、事前定義済みのintrazone-defaultのルールにヒットし許可されます。従いまして、このようなGlobalProtectの設計/設定を行った場合、GlobalProtectでVPN接続させるための明示的な許可ルールの設定は不要です。(VPN接続後の通信を許可するルールは別途必要ですが)
しかし、このintrazone-defaultの事前定義済みルールにヒットした通信に対してはセキュリティプロファイルの適応ができないため、脅威防御ライセンスがあっても脆弱性防御の対象通信とすることができません。
従いまして、GlobalProtectのポータルやゲートウェイに関連する脆弱性が発見された場合、PAシリーズでは自身の脆弱性攻撃を検知し防御するためにシグネチャを配信することで、自身の防御機能にて防御する措置が取られることが多いですが、intrazone-defaultで許可されている通信はプロファイルが適応されず防御対象となっていないため、シグネチャを更新したとしても防御できません。
これらを考慮しGlobalProtectの設計/設定を以下のいずれかにするようにする必要があります。
尚、VPN装置はインターネットからのアクセスを許可せざるを得ないですが、そのため脆弱性がアナウンスされた場合には早急な対処が必要となります。しかし、SASE/Prisma AccessのクラウドサービスでのVPN機能に関しては、クラウド側でこれらの脆弱性防御の措置も行いますので、お客様やパートナー様の方で対処する必要にはならないケースがほとんどですので、運用負担は軽減できます。
今後のためにも、今からGlobalProtectの実装方法や認証方法を見直してみてはいかがでしょうか?