About fmeng

目的 以下视频解释如何在Prisma Cloud上配置如何使用第三方认证SSO。   环境 Prisma Cloud   Procedure   注意： 本视频来自PaloAlto学习中心的课程，Prisma云。确保公共云的安全（EDU-150）。 要了解更多信息或注册观看在线课程，请访问Palo Alto Networks Education。 ... View more

决议 我的防火墙还能做什么？识别用户。 让我们仔细看看有哪些选项可以通过用户的用户名来识别用户，以及可以用这些信息做什么。我们将查看User-ID客户端的配置，并将其与无客户端部署进行比较，设置俘虏式门户，并准备在安全策略中使用组映==射。   准备Windows 在你开始工作之前，请下载用户识别代理。它可以在Support Portal网站的软件更新下找到。下载完安装程序后，我们建议将其安装在你的活动目录服务器上，但如果你喜欢使用不同的服务器，这并不是严格的要求。由于Windows服务器上的UAC（用户访问控制）设置，我们建议以管理员身份运行安装程序。用 "以管理员身份运行 "选项打开一个命令提示符，导航到包含安装程序文件的文件夹，并从命令行中执行安装程序。     安装过程完成后，从开始菜单中打开User-ID Agent，进入设置。点击编辑，开始配置User-ID代理。   你需要配置的第一件事是该服务将以何种用户名运行。确保该账户至少被授予以下权限（不正确/不完整的权限可能导致 "启动服务失败，错误1069 "的错误信息），请按照这篇文章一步一步地设置用户权限。How to Install User-ID Agent and Prevent 'Start service failed with error 1069' -事件日志阅读者（在Windows 2003中审计和管理安全日志） -服务器操作员（以服务形式运行） -DCOM用户（用于WMI探测） 如果这有点混乱，请暂时将账户设置为管理员。     代理人接收到的登录_成功和Auth_ticket_granted/renew事件如下所示   admin guide -Windows Server 2003-所需事件的事件ID是672（验证票授予）、673（服务票授予）和674（票授予更新）。 -Windows Server 2008/2012（包括R2）或MS Exchange--所需事件的事件ID是4768（验证票授予）、4769（服务票授予）、4770（票授予更新）和4624（登录成功）。   最后，在ActiveDirectory准备列表中，确保启用成功的审计，以便在AD日志中捕获登录事件。     User-ID代理的配置   现在让我们来配置UID代理。如果你还没有专门的用户，请将用户设置为管理员，这可以在以后更改，当你对设置感到满意并有时间阅读进一步的建议时。配置的第一个标签将让你设置用户名。     下一个标签将有读取日志的频率。这将设置代理要轮询事件日志的频率，并寻找成功的登录事件，将源IP及其相关的用户账户添加到用户-IP列表中。在大多数情况下，推荐使用1秒的默认设置。   可以启用服务器会话来监控客户与服务器的连接。当大多数客户在AD上有一个驱动器映射，用来验证一个用户账户是否仍在登录并连接到其共享。 客户端探测选项(Client Probing)让你控制是否以及如何定期探测客户机，以查看一个账户是否仍在登录中。这些探测将能够在机器登录到本地账户或突然从网络中删除用户-ip映射。然而，需要进行一些规划，因为目标机器确实需要支持这些探针。由于防火墙策略导致的探测失败，或者如果客户没有授权wmi到User-ID代理账户，将导致用户-ip映射也被删除。如果你不确定你的客户是否能够支持探测，请暂时禁用这两个探测。   缓存选项(Cache)允许对用户-IP映射中的条目设置一个超时时间。特别是当探测功能被禁用时，这很有价值，因为它允许你删除 "陈旧 "的用户-IP映射。如果检测到一个ActiveDirectory成功的日志事件，超时就会被刷新。   在一个相当静态的办公环境中，把这个超时设置为600分钟以上是安全的，因为默认的kerberos用户票的寿命是10小时。在一个有许多用户共享工作站的非常动态的环境中，将超时设置为一个较短的时间可能更有利。 代理服务标签允许你改变服务对传入防火墙连接的默认监听端口。   我们现在先不谈eDirectory和syslog标签，继续点击ok选项。你会看到你刚刚创建的配置的摘要和访问控制列表，你可以设置它来限制哪些IP地址或子网可以连接到User-ID代理。继续并提交新的User-ID代理配置。   通过回到代理的主页面，快速确保服务正在运行。（Agent is running) 如果代理还没有启动，你可以从这里手动启动它点Start，或者停止 Stop。   接下来，我们将配置代理要连接的ActiveDirectory服务器，以收集用户活动的信息。打开 "发现 "页面，点击 "自动发现"，这将通过使用本地机器信息来填充可用的服务器列表。其他服务器可以手动添加。如果一个服务器是多宿主，必要时可以删除多余的条目。   包括/排除（Include/Exclude)列表允许你控制哪些子网应该或不应该被监测到用户登录事件。   监控页面现在应该开始填入新的用户-IP映射。当User-ID代理第一次启动时，它将通过ActiveDirectory的最后50.000个日志条目，然后每秒钟监测新的条目。根据一天中的时间和你的服务器上的事件日志的聊天情况，可能需要一段时间才能在列表中填入可靠的活动IP地址数据库（在部署安全策略时考虑到这一点）。   现在代理已经准备好了，打开防火墙GUI。在设备选项卡中，在用户识别中，可以使用我们在用户识别代理中使用的相同参数配置无客户端部署。这在一个较小的环境中或当访问ActiveDirectory不允许安装一个软件时，可能非常有用。我们不建议在大型环境中使用无客户端部署，因为这可能会导致大量的开销。 为了连接到已安装的User-ID代理，我们需要跳到下一个标签，添加一个新的User-ID代理。 为代理分配一个名称以方便识别，设置其IP和我们在代理配置的 "代理服务 "标签中配置的端口。只有当不同的防火墙被用作收集点，并且该防火墙需要从该防火墙收集信息时，才应使用收集器。如果Captive portal被配置为支持浏览器中的NTLM认证，则至少需要设置一个代理来充当代理。现在启用这个选项，因为一旦我们配置了Captive Portal，我将向你展示如何设置NTLM。   下一步是为需要 UserID 的区域启用 User Identification。不建议为面向互联网的区域启用该功能，除非用户识别ACL被设置为只为该区域的特定子网执行用户识别。如果没有设置，防火墙将查询User-ID代理，了解连接到防火墙外部接口的每个IP地址的信息。   前往 "网络 "标签，打开 "区域"，打开 "信任区"，并启用 "用户识别"。 在所有需要的区域都被启用后，提交配置。提交完成后，流量日志将开始显示用户信息。     强制门户认证 (Captive Portal) 对于任何不能通过传统的活动目录事件日志方式发现的用户，可以建立一个俘虏式门户系统，在这个系统中，浏览会话被拦截，用户的浏览器通过NTLM查询凭证信息，或者向用户提供一个网页表格，让用户输入用户名和密码。   由于用户可能会被重定向到一个请求认证的门户页面，最佳的用户体验是拥有一个整个组织都信任的证书，所以如果有一个证书颁发机构可以创建一个服务器证书，这将使浏览器在用户被重定向时不会弹出错误信息。如果没有本地CA，可以生成一个自签名的证书并手动导入到客户端，以改善用户体验。   前往 "Device "选项，生成一个新的自签名证书或导入一个组织证书。我把我的证书创建为一个证书颁发机构，但这并不是严格意义上的必要。作为通用名称，我设置了我的接口的IP地址，因为我将使用它作为重定向IP，但如果你有一个内部DNS服务器，你可以设置一个FQDN，如captiveportal.mycompany.com，并在重定向中使用它。 接下来，你需要创建一个SSL/TLS服务配置文件，以便能够使用该证书作为俘虏式门户的服务器证书。选择你希望门户支持的TLS的最小和最大版本。   在我们配置强制门户认证之前，还有一个步骤是启用认证。转到LDAP服务器配置文件，为活动目录服务器创建一个新的LDAP配置文件。 然后创建一个认证配置文件。请确保为你的环境适当地设置登录属性。对于活动目录，这通常是 "sAMAccountName"。 在 "高级 "选项中，你可以限制允许认证的用户组，但现在，我们要将其设置为 "所有"。   接下来，强制门户认证。   你要启用重定向模式，因为这将把用户重定向到防火墙界面上的一个登陆页面。这将允许在上一步创建的证书向用户展示一个适当的浏览器体验。如果不启用转接模式，防火墙将冒充原始目标URL，调用HTTP 401认证请求。然而，由于这种认证的内联性质，客户端将不会得到适当的证书，并将始终得到一个证书错误。     -设置SSL/TLS服务配置文件设置为Captive Portal证书。 -设置认证配置文件设置为ldap认证配置文件。 -设置重定向主机设置为防火墙的接口IP。如前所述，这可以是一个解析到IP的FQDN，并在证书中设置为通用名称。 为了使重定向发挥作用，该接口需要启用响应页。这些可以通过接口管理配置文件来启用。在入门系列的Layer3部分中，我们介绍了添加接口管理配置文件以允许ping--我们可以编辑该配置文件以允许响应页。 最后一步是创建Captive Portal策略。创建一个策略，动作设置为浏览器挑战，并在下面创建第二个策略，使用web-form动作。浏览器挑战策略将尝试对浏览器进行NTLM兼容认证。如果失败，第二个策略将向用户提供一个Web表单，让他们填写用户名和密码。   组图(Group Mapping) 由于你已经创建了一个LDAP配置文件，一个额外的步骤将允许从活动目录中收集组信息。然后，这些组信息可以用来创建安全策略，根据用户账户和组成员资格允许或拒绝用户。   在 "用户识别 "的 "设备 "选项卡上，进入 "group mapping"设置 "并创建一个新的配置文件。将服务器配置文件设置为LDAP配置文件，将用户域设置为NetBios域。 更新间隔默认为3600秒（60分钟）。如果你的用户经常在不同的组之间更换，减少这个时间间隔可能是有益的。在 "包括组 "列表中，你可以专门选择哪些组来检索到防火墙。   在你选择了你要使用的组之后，提交配置。提交完成后，这些组将在安全策略用户字段中可用。 现在你可以根据用户组建立安全策略。   CLI命令 有几个CLI命令可以派上用场，以验证所有用户的身份是否正确，组的信息是否准确。   show user group name <groupname>  来查看组的成员 > show user group name "cn=domain users,cn=users,dc=example,dc=com" short name: example.com\domain users source type: ldap source: groupmapping [1 ] example.com\administrator [2 ] example.com\astark [3 ] example.com\bstark [4 ] example.com\cgrimes [5 ] example.com\dtargaryen [6 ] example.com\jlannister [7 ] example.com\jsnow [8 ] example.com\lgrimes [9 ] example.com\rgrimes [10 ] example.com\tlannister [11 ] example.com\varys     show user group-mapping state all 查看组映射配置文件的状态，以及刷新/最后一次刷新前的时间。 > show user group-mapping state all Group Mapping(vsys1, type: active-directory): groupmapping Bind DN : administrator@example.com Base : DC=example,DC=com Group Filter: (None) User Filter: (None) Servers : configured 1 servers 10.192.16.98(389) Last Action Time: 3418 secs ago(took 0 secs) Next Action Time: In 182 secs Number of Groups: 3 cn=it staff,cn=users,dc=example,dc=com cn=human resources,cn=users,dc=example,dc=com cn=domain users,cn=users,dc=example,dc=com     show user ip-user-mapping all 查看所有当前识别的活跃用户以及他们是如何被识别的。 > show user ip-user-mapping all IP Vsys From User IdleTimeout(s) MaxTimeout(s) --------------- ------ ------- -------------------------------- -------------- ------------- 10.0.0.188 vsys1 UIA example\rgrimes 1304 1304 10.0.0.29 vsys1 CP example\administrator 561 2593 Total: 2 users > show user ip-user-mapping all type AD Active Directory CP Captive Portal EDIR eDirectory GP Global Protect SSO SSO SYSLOG Syslog UIA User-ID Agent UNKNOWN Unknown XMLAPI XML API   ... View more

《概述》 本文件描述了Palo Alto Networks防火墙上安全策略的基本原理。 所有穿越Palo Alto Networks防火墙的数据平面的流量都与安全策略相匹配。这不包括来自防火墙管理界面的流量，因为在默认情况下，这种流量不会通过防火墙的数据平面。防火墙上的安全策略可以使用各种标准来定义，如区域、应用、IP地址、端口、用户和HIP配置文件。防火墙管理员可以定义安全策略，以允许或拒绝流量，从区域作为广泛的标准开始，然后用更细的选项（如端口、应用程序和HIP配置文件）对策略进行微调。   《两种安全策略》 防火墙有两种安全策略。 1）明安全策略由用户定义，在CLI和Web-UI界面上可见。 2）隐式安全策略是用户通过CLI界面或Web-UI界面不可见的规则。下一节将讨论Palo Alto Networks防火墙的隐性安全策略。 《隐式安全策略》（Implicit security policies） 默认情况下，防火墙隐式允许区内（发端和目的地在同一区域）流量，隐式拒绝区间（不同区域之间）流量。默认情况下，隐式策略允许或拒绝的流量不在防火墙上记录，所以找不到这种流量的日志。要被防火墙记录，流量必须与防火墙上明确配置的安全策略相匹配。然而，为了排除故障，可以改变默认行为。请参考：How to See Traffic from Default Security Policies in Traffic Logs: http://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-See-Traffic-from-Default-Security-Policies-in-Traffic/ta-p/57393   《会话》（Sessions） Palo Alto Networks防火墙是一个有状态的防火墙，这意味着通过防火墙的所有流量都与一个会话相匹配，然后每个会话都与一个安全策略相匹配。 一个会话由两个流组成。客户端到服务器流（c2s流）和服务器到客户端流（s2c流）。流量启动的端点始终是客户，而流量目的地的端点是服务器。对于定义安全策略，只需要考虑c2s流向。定义政策，允许或拒绝从始发区到目的区的流量，也就是c2s方向。返回流，s2c，不需要新的规则。防火墙上的安全策略评估在列表中从上到下依次进行，因此与列表中第一个最接近的规则相匹配的流量适用于该会话。   以下是一个如何从CLI识别会话中流量的例子： > show session id 107224 Session          107224           c2s flow:                 source:    172.23.123.5 [Test]                 dst:        172.23.123.1                 proto:      50                 sport:      37018          dport:    37413                 state:      ACTIVE          type:      TUNN                 src user:  unknown                 dst user:  unknown           s2c flow:                 source:    172.23.123.1 [Test]                 dst:        172.23.123.5                 proto:      50                 sport:      37750          dport:    50073                 state:      ACTIVE          type:      TUNN                 src user:  unknown                 dst user:  unknown    《拓扑结构》 在本文中，使用了以下拓扑作为安全策略案例：   《服务 "应用-默认"》（application-default) 在下面的例子中，安全策略允许和拒绝符合以下条件的流量。   策略A: 所有从IP子网192.168.1.0/24的信任区发起的、以非信任区为目的地的应用，必须允许任何来源和目的地端口。 策略B：必须允许从信任区的IP 192.168.1.3发起的以非信任区为目的地的应用程序、DNS、Web浏览、FTP流量。这些应用               程序应该被限制在 "应用程序默认 "的端口上使用。例如，DNS应用程序，默认情况下，使用目标端口53。因此，                   DNS应用程序应该只允许在这个端口使用。在其余的目标端口上使用这个应用程序应该被拒绝。 策略C: 所有其他从192.168.1.3到Untrust区域的应用程序必须被阻止。 策略D: 所有从Untrust区域发起的到任何区域的流量都应该被阻止。 安全策略中的服务栏定义了应允许流量的源端口和目的端口。这四个选项是： 1）应用-默认（Application-default）。允许默认目标端口的流量。 关于寻找各种应用，所使用的默认目标端口的更多细节，请参考以下文件。 请参阅：How to view Application-default ports for an application. 2）任何（Any）允许任何源和目的端口的流量。 3）预定义服务（Predefined services）已经在防火墙上定义的服务。 4）自定义服务（Custom services）管理员可以根据他们的应用端口要求来定义服务。 该例子显示了为符合上述标准而创建的规则。   提交上述配置变更时，会显示以下跟随策略警告：   接下来将讨论跟随策略警告的影响和避免影子警告的技巧。   《规则的跟随》 (Shadowing of rules) 在上面的例子中，IP地址192.168.1.3属于信任区，属于子网192.168.1.0/24。由于防火墙从上到下进行安全策略查询，所有来自IP 192.168.1.3的流量都与规则A相匹配，并将被应用到会话。尽管该流量也符合规则B和规则C的标准，但这些规则不会被应用于该流量，因为规则A正在影射规则B和规则C。 为了避免跟随策略影响，规则B和规则C应该在规则A之前，如下图所示。现在，流量与正确的规则相匹配，并防止在提交commit过程中出现 "跟随策略警告"。     《基于用户的安全策略》 (security policies based on users) 在上面的例子中，策略是基于IP地址编写的。 以同样的方式，LDAP用户、LDAP组和防火墙上的本地定义用户也可以在安全策略中使用。关于如何配置User-ID和将用户添加到安全策略中的更多细节，请参考以下文件： 配置User-ID Getting Started: User-ID   《带有NAT的IP地址的安全策略》 (Security policies with NATed IP addresses) 本节讨论了在涉及到IP地址转换时如何编写安全策略，以及如何在安全策略中使用URL类别来控制各种网站。   在下面的例子中，安全策略被定义为与以下条件相匹配:   非信任区(Untrust)的公共IP 192.0.2.1被翻译成DMZ区Web服务器的私有IP 10.1.1.2。 从非信任区(Untrust)到DMZ区的Web服务器10.1.1.2的入站流量必须只允许使用25、443和8080端口。 信任区(Trust)的所有用户必须被拒绝访问非信任区的 "成人和色情 "类网站。 所有其他从信任区到非信任区的流量都必须被允许。   下面的规则显示了满足上述标准的配置。   所有从非信任区发往Web服务器的流量，其目标公共IP为192.0.2.1，属于非信任区。由于该流量来自非信任区，目的地是非信任区的IP，因此该流量被一个允许相同区域流量的隐含规则所允许。在安全策略查询之后，防火墙做了一个NAT策略查询，确定Web服务器的公共IP应该被翻译成位于DMZ区的私有IP 10.1.1.2。在这个阶段，防火墙有了最终目标区域（DMZ），但是IP从192.0.2.1到10.1.1.2的实际转换还没有发生。在确定NAT后流量的最终目的区信息后，防火墙进行第二次安全策略查询，以找到一个政策，允许以最终目的区DMZ为目的地的流量。因此，上面的规则X被配置为允许后NAT流量。注意，规则X将DMZ（Post-NAT区域）作为目标区域，将192.0.2.1（Pre-NAT IP）作为目标IP地址。在上面的例子中，一个服务 "Web-server_Ports "被配置为允许目标端口25、443和8080。欲了解更多信息，请参阅。如何配置一个策略以使用一个端口范围。   《安全策略中的URL类别》 (URL categories in security policies) 在上面的例子中，规则Y被配置为使用安全策略中的URL类别选项阻止成人类别网站。在安全策略中使用URL类别选项时，必须在策略中明确提到网络浏览应用程序。否则，不相关的流量将与此规则相匹配。另一种基于URL类别控制网站的方法是使用URL过滤配置文件。   《应用程序的依赖性和应用程序的转移》 (Application dependencies and application shifts) 本节讨论了 "应用依赖性"，并描述了当应用-ID在会话中间改变时，会话会发生什么。 在下面的例子中，安全策略被定义为允许和拒绝符合以下条件的流量。 应该允许Gotomeeting、Youtube从信任区到非信任区的应用。 应该允许应用Facebook、Gmail-base从访客区到非信任区。 对于访客区的用户，SSL和网络浏览应该被阻止。 以下案例能看出符合上述标准而创建的规则。 在提交配置更改时，可能会看到以下应用程序依赖性警告。   像Gotomeeting和YouTube这样的应用最初被识别为SSL、网络浏览和Citrix。随着这些会话的更多数据包通过防火墙，防火墙可以获得更多信息来识别应用程序。然后，防火墙将应用程序转移到Gotomeeting和Youtube等各自的应用程序。 每当应用程序转移发生时，防火墙就会进行新的安全策略查询，以找到与新应用程序相匹配的最接近的规则。因此，在上述案例中，SSL和网络浏览被称为Gotomeeting和Youtube的附属应用，因此这些应用也应该在安全策略中被允许。如果流量的应用在会话过程中发生变化，那么第二次安全策略查询就会根据安全策略重新匹配流量，以找到新的最接近的匹配策略。   在上面的例子中，创建了一个新的安全策略，"依赖性应用程序规则"，以允许SSL和网络浏览。Youtube的流量最初与此规则相匹配，一旦发生应用转移，第二次安全策略查询就与规则10相匹配。 一些协议的应用程序可以被允许，而不需要明确地允许其依赖性（文档：http://live.paloaltonetworks.com/t5/Management-Articles/How-to-Check-if-an-Application-Needs-Explicitly-Allowed/ta-p/61893）。在上面的例子中，Facebook和gmail-base就是这样的应用，它们依赖于SSL和网络浏览，不需要明确允许它们的依赖性应用。   《应用程序识别和解密》 （Application identification and decryption） 某些像Vimeo这样的应用，使用SSL并且是加密的，不需要SSL解密就可以被防火墙识别。然而，像YouTube这样使用SSL的应用程序，需要由防火墙解密来识别。由于SSL连接是加密的，因此防火墙无法看到这种流量，以便对其进行识别。防火墙使用证书中的通用名称字段进行应用识别。这是在SSL握手过程中以明文交换的。 像Vimeo这样的网站使用网站的URL名称作为通用名称，因此不需要配置SSL解密。一些网站如YouTube使用带有通配符名称的证书作为公共名称。在YouTube的情况下，它是*.google.com。因此，使用这一信息进行应用识别是不可能的，必须配置SSL解密以获得对网站URL的可见性。请参考以下关于如何实施和测试SSL解密的文件 http://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Implement-and-Test-SSL-Decryption/ta-p/59719 。   《清理规则》 （Clean-up rule） 些环境要求记录所有被防火墙拒绝和允许的流量。默认情况下，只有防火墙明确允许的流量才会被记录下来。要记录防火墙隐含规则所允许的流量，请参考： - 任何/任何/拒绝安全规则改变默认行为 http://live.paloaltonetworks.com/t5/Learning-Articles/Any-Any-Deny-Security-Rule-Changes-Default-Behavior/ta-p/54248） - 如何在流量日志中看到来自默认安全策略的流量 http://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-See-Traffic-from-Default-Security-Policies-in-Traffic/ta-p/57393   《安全策略提示》（Security policy tips） 防火墙以相同的顺序检查以下标准，以便根据安全策略匹配流量。 1）源地址和目标地址 （Source and destination address） 2）源端口和目标端口 （Source ports and destination ports） 3）应用程序 （Applications) 4）用户-ID (User-ID) 5）URL类别 (URL Category) 6）源区和目的区 (Source and destination zones)   在上述配置实例中，当TCP端口80上的应用程序 "网络浏览 "从信任区到非信任区通过防火墙时，将以下列方式进行安全查询。 1) 源地址和目标地址 （Source and destination address） - 因为规则A、B和C有 "任何 "源和目的地址，所以该流量与所有这些规则相匹配。 2) 源端口和目标端口 （Source ports and destination ports） - 因为规则A、B和C有 "任何 "服务，所以流量符合所有这些规则。 3) 应用程序 （Applications) - 由于规则A和B有 "网络浏览 "应用程序，流量符合这些规则。 4) 用户-ID (User-ID) - 这里不适用。 5) URL类别 (URL Category) - 此处不适用。 6) 源区和目的区 (Source and destination zones) - 因为流量是在信任区和非信任区之间，所以为这个流量选择了规则A。 配置安全策略的最佳方式是尽量减少 "任何 "的使用，并在可能的情况下使用具体的值。这可以减少Palo Alto Networks设备进行的不必要的安全策略查询。     ... View more