PaloAlto のポートフォワーディング

# Proxmox on EVE-NG in Paloalto
EVE-NG 上で PaloAlto を動かせたのでちょっと試してみた。

# ネットワーク
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/5c6c9794-8e1f-43c5-be32-8eb1bbf7a860.png)
- e1/1 : Internetゾーン
- e1/2 : LANゾーン

上のネットワークで ssh のポートフォワーディングを試してみる。
192.168.0.40:21110 → 192.168.11.10:22 (tcp)

- ssh クライアントから Palo Alto まで
src (ssh Client) → dst (192.168.0.40:21110)
- Palo Alto から ssh サーバ
src (192.168.11.254:nnnn) → dst (192.168.11.10:22)

# オブジェクト > アドレス
アドレスに名前を定義
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/3aeb9549-7e8f-480f-9a0d-7893939b8ff4.png)
- HOST_11_10 : ssh server
- Palo_Internet : Palo Alto の Internet側アドレス
- Palo_LAN : Palo Alto の LAN側アドレス
Palo Alot のインターフェースへ付けるアドレスはネットマスクを書いておかないと /32 と解釈され通信できないので注意。

# NETWORK > インターフェース
インターフェースにアドレスを設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/00e1e53b-fc87-4cd6-8f11-974da3f47a5e.png)
定義したオブジェクトを使ってインターフェースのアドレスを設定。

# NETWORK > 仮想ルータ
デフォルトルートの設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/3d30d786-857c-4e6f-8b4b-a250aec7de5b.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/77742a7f-66ce-45c2-b8f9-ef0dbd5b0a23.png)

# OBJECTS > サービス
転送する 21110/tcp に名前を定義
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/db8375c2-240a-45d3-839c-ec14974ae503.png)

# POLICIES > セキュリティ
通信の許可ルールを定義
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/d0f8356e-3949-453a-8341-b64e34c9a1ff.png)

1行目 : LAN から Internet へのアクセス
2行目 : Internet から LAN への ssh アクセス

# POLICIES > NAT
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/b64f84b7-ed04-4975-857d-197caec1e025.png)

1行目 : LAN から Internet への src NAT
2行目 : Internet から LAN への ssh 用 srcNAT & dstNAT
※2行目はグローバルアドレスからのアクセスであれば srcNAT は不要。
変換前宛先アドレスは OBJECT ではなく、IP アドレスを直接書く。

ここで NAT の設定を以下のように OBJECT を使って設定するとエラーになる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/48a7bc0e-8c36-477d-be6d-991b268a9046.png)
`Palo_Internet` の定義は `192.168.0.40/24` と `/24` に対して、変換先が `/32` で、含まれるアドレスの数が異なるためエラーになる↓ (マスクを書いていない場合も `/32` 扱いになる)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/2eaf6f42-984a-4588-804e-9c96ae0b2ed7.png)
エラーメッセージ : `Error: nat rule '~~~': Mismatch of destination address translation range between original address and translated address`

# MONITOR > セッションブラウザ
通信中のトラフィックは「トラフィック」ではなく、「セッションブラウザ」で参照。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/72013c19-cf8a-4a1c-b91d-487a6cee1b17.png)
- Flow 1 は (行き) クライアントから Palo Alto 
- Flow 2 は (戻り) サーバーから Palo Alto

意図したプロトコルで検出、ポリシー適用されているか？

||||
|--|--|--|
|✅|入力インターフェース (ゾーン)|ether1/1 (Internet)|
|✅|出力インターフェース (ゾーン)|ether1/2 (LAN)|
|✅|あて先、ポート (Flow 1)|192.168.0.40 / 21110|
|✅|NAT後宛先、ポート (Flow 2)|192.168.11.10 / 22|
|✅|アプリケーション|ssh|
|✅|セキュリティールール|incomming_SSH|
|✅|NAT ソース (= src NAT)|True|
|✅|NAT 宛先 (= dst NAT)|True|
|✅|NAT ルール|to_Host_11_10|

# MONITOR > ログ > トラフィック
セッションが終了しないとこちらには載らない
- ログ出力のタイミングは `POLICIES > セキュリティ` のルール毎に設定
- セッション持続時間は `DEVICE > セットアップ > セッション` のセッションタイムアウト

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/306041/36be0551-ac46-446f-8987-a7e1f8822a52.png)
セッションブラウザと同様、検出されたプロトコル、ポリシーを確認できる。