Intégration du pare-feu Check Point sur la plate-forme SD-WAN 1100
Citrix SD-WAN prend en charge l’hébergement Check Point CloudGuard Edge sur la plate-forme SD-WAN 1100.
Le Check Point CloudGuard Edge s’exécute en tant que machine virtuelle sur la plate-forme SD-WAN 1100. La machine virtuelle pare-feu est intégrée en mode Bridge avec deux interfaces virtuelles de données qui lui sont connectées. Le trafic requis peut être redirigé vers la machine virtuelle du pare-feu en configurant des stratégies sur SD-WAN.
Avantages
Les principaux objectifs ou avantages de l’intégration de Check Point sur la plate-forme SD-WAN 1100 sont les suivants :
-
Consolidation des périphériques de succursale : une appliance unique qui effectue à la fois le SD-WAN et la sécurité avancée
-
Sécurité des succursales avec pare-feu NGFW sur site (Next Generation Firewall) pour protéger le trafic LAN à LAN, LAN à Internet et Internet-to-LAN
Étapes de configuration
Les configurations suivantes sont nécessaires pour intégrer la machine virtuelle de pare-feu Check Point sur SD-WAN :
-
Provisionner la machine virtuelle du pare-feu
-
Activer la redirection du trafic vers la machine virtuelle de sécurité
Remarque
La machine virtuelle du pare-feu doit d’abord être provisionnée avant d’activer la redirection du trafic.
Provisioning Check Point Firewall machine virtuelle
Il existe deux façons de provisionner la machine virtuelle du pare-feu :
-
Provisionnement via SD-WAN Center
-
Provisionnement via l’interface graphique de l’appliance SD-WAN
Provisioning de machines virtuelles par le biais du Centre SD-WAN
Conditions préalables
-
Ajoutez le stockage secondaire au Centre SD-WAN pour stocker les fichiers image de la machine virtuelle du pare-feu. Pour plus d’informations, consultez Configuration système requise et installation.
-
Réservez le stockage à partir de la partition secondaire pour les fichiers image de la machine virtuelle du pare-feu. Pour configurer la limite de stockage, accédez à Administration > Maintenance du stockage.
-
Sélectionnez la quantité de stockage requise dans la liste.
-
Cliquez sur Appliquer.
-
Remarque
Le stockage est réservé à partir de la partition secondaire qui est active si la condition est remplie.
Procédez comme suit pour Provisioning la machine virtuelle de pare-feu via la plate-forme SD-WAN Center :
- Dans l’interface graphique de Citrix SD-WAN Center, accédez à Configuration sélectionnez Pare-feu hébergé.
Vous pouvez sélectionner la région dans la liste déroulante pour afficher les détails du site provisionné pour cette région sélectionnée.
- Téléchargez l’image du logiciel.
Remarque
Assurez-vous que vous disposez de suffisamment d’espace disque pour télécharger l’image logicielle.
Accédez à Configuration > Pare-feu hébergé > Images logicielles, puis cliquez sur Charger.
- Sélectionnez le nom du fournisseur comme pointdecontrôle dans la liste déroulante. Cliquez ou déposez le fichier image du logiciel dans la zone à télécharger.
Une barre d’état apparaît avec le processus de téléchargement en cours. Ne cliquez pas sur Actualiser ou n’effectuez aucune autre action jusqu’à ce que le fichier image affiche 100% téléchargée.
-
Actualiser : cliquez sur l’option Actualiser pour obtenir les derniers détails du fichier image.
-
Supprimer : cliquez surl’optionSupprimer pour supprimer tout fichier image existant.
Remarque
Pour provisionner la machine virtuelle de pare-feu sur la partie sites d’une région autre que par défaut, téléchargez le fichier image sur chacun du nœud collecteur.
- Pour le Provisioning, revenez à l’onglet Sites de pare-feu hébergés et cliquez sur Provisionner.
- Fournisseur : sélectionnez le nom du fournisseur en tant que pointdecontrôle dans la liste déroulante.
- Modèle de machine virtuelle fournisseur : le champ Modèle de machine virtuelle est automatiquement rempli comme Edge.
- Région : sélectionnez la région dans la liste.
- Image logicielle : sélectionnez le fichier Image à provisionner.
- Sites pour l’hébergement de pare-feu : sélectionnez les sites pour la liste d’hébergement de pare-feu. Vous devez sélectionner les sites principaux et secondaires si les sites sont en mode haute disponibilité.
- Management Server Adresse IP principale/Nom de domaine : Entrez l’adresse IP principale de gestion ou le nom de domaine complet (facultatif).
- Clé SIC de machine virtuelle : entrez la clé SIC (Secure Internal Communication) de la machine virtuelle. SIC crée des connexions approuvées entre lescomposantsCheck Point.
-
Cliquez sur Démarrer l’approvisionnement.
-
Cliquez sur ** Actualiser pour obtenir le dernier état. Une fois que la machine virtuelle Check Point est complètement démarrée, elle se reflète sur l’interface utilisateur SD-WAN Center.
Vous pouvez démarrer, arrêter et déprovisionner la machine virtuelle selon vos besoins.
- Nom du site : affiche le nom du site.
- IP de gestion : affiche l’adresse IP de gestion du site.
- Nom de la région : affiche le nom de la région.
- Fournisseur : affiche le nom du fournisseur (point de contrôle).
- Modèle : Affiche le modèle - Edge.
- État d’administration : état de la machine virtuelle fournisseur (haut/bas).
- État de l’opération : affiche le dernier message d’état de l’opération.
- Accès à l’interface utilisateur du site hébergé : utilisez lelienClick Here pour accéder à l’interface graphique de la machine virtuelle Check Point.
Provisioning de machines virtuelles par pare-feu via l’interface graphique du dispositif SD-WAN
Sur la plate-forme SD-WAN, provisionnez et démarrez la machine virtuelle hébergée. Effectuez les étapes suivantes pour le Provisioning :
-
Dans l’interface graphique de Citrix SD-WAN, accédez à Configuration > Paramètres de l’appliance sélectionnez Pare-feu hébergé.
-
Téléchargez l’image du logiciel :
- Sélectionnez l’onglet Images logicielles. Sélectionnez le nom du fournisseur comme point de contrôle.
- Choisissez le fichier image du logiciel.
-
Cliquez sur Charger.
Remarque
Maximum de deux images peuvent être téléchargées. Le téléchargement de l’image de la machine virtuelle Check Point peut prendre plus de temps en fonction de la disponibilité de la bande passante.
Vous pouvez voir une barre d’état pour suivre le processus de téléchargement. Le détail du fichier reflète, une fois que l’image est téléchargée avec succès. L’image utilisée pour le Provisioning ne peut pas être supprimée. N’effectuez aucune action ou revenez à une autre page jusqu’à ce que le fichier image affiche 100% téléchargée.
- Pour le Provisioning, sélectionnez l’ongletPare-feuhébergé > cliquez surle boutonProvisionner.
- Fournissez les détails suivants pour le Provisioning.
- Nom du fournisseur : sélectionnez le nom du fournisseur comme point de contrôle.
- Modèle de machine virtuelle : le modèle de machine virtuelle est automatiquement rempli en tant que Edge.
- Nom du fichier image : le nom du fichier image est renseigné automatiquement.
- Adresse IP/domaine du serveur de gestion des points de contrôle : indiquez l’adresse IP/domaine du serveur de gestion des points de contrôle.
-
Clé SIC : Indiquez la clé SIC (Facultatif). SIC crée des connexions approuvées entre lescomposantsCheck Point. Cliquez sur Appliquer.
- Cliquez sur ** Actualiser pour obtenir le dernier état. Une fois que la machine virtuelle Check Point est complètement démarrée, elle réfléchit sur l’interface utilisateur SD-WAN avec les détails du journal des opérations.
- État d’administration : indique si la machine virtuelle est en service ou en panne.
- État de traitement : état de traitement du chemin de données de la machine virtuelle.
- Paquet envoyé : Paquets envoyés du SD-WAN à la machine virtuelle de sécurité.
- Paquet reçu : Paquets reçus par SD-WAN de la machine virtuelle de sécurité.
- Paquet abandonné : Paquets supprimés par SD-WAN (par exemple, lorsque la machine virtuelle de sécurité est en panne).
- Accès aux périphériques : cliquez sur le lien pour obtenir l’accès de l’interface graphique à la machine virtuelle de sécurité.
Vous pouvez démarrer, arrêter et déprovisionner la machine virtuelle selon vos besoins. Utilisez l’option Cliquez ici pour accéder à l’interface graphique de la machine virtuelle Check Point ou utilisez votre adresse IP de gestion avec le port 4100 (IP de gestion : 4100).
Remarque
Utilisez toujours le mode navigation privée pour accéder à l’interface graphique Check Point.
Rediriger le trafic vers Edge
La configuration de la redirection du trafic peut être effectuée à la fois via l’Éditeur de configuration sur MCN ou l’Éditeur de configuration sur SD-WAN Center.
Pour naviguer dans l’Éditeur de configuration sur SD-WAN Center :
- Ouvrez l’interface utilisateur Citrix SD-WAN Center, accédez à Configuration > Importation de configuration réseau. Importez la configuration WAN virtuel à partir du MCN actif et cliquez sur Importer.
Les étapes restantes sont similaires comme suit : la configuration de redirection du trafic via MCN.
Pour naviguer dans l’Éditeur de configuration sur MCN :
- Définissez Type de correspondancedeconnexion sur Symétrique sous Global > Paramètres réseau.
Par défaut, les stratégies de pare-feu SD-WAN sont spécifiques à la direction. Le type de correspondance symétrique correspond aux connexions à l’aide de critères de correspondance spécifiés et applique une action de stratégie dans les deux directions.
- Ouvrez l’interface utilisateur Citrix SD-WAN, accédez à Configuration développez Virtual WAN sélectionnez Éditeur de configuration sélectionnez Modèle de pare-feu hébergé sousla sectionGlobal.
- Cliquez sur + et fournissez les informations requises disponibles dans la capture d’écran suivante pour ajouter le modèle de pare-feu hébergé. Cliquez sur Ajouter.
Le modèle de pare-feu hébergé vous permet de configurer la redirection du trafic vers la machine virtuelle du pare-feu hébergée sur la plate-forme SD-WAN. Voici les entrées nécessaires à la configuration du modèle :
- Nom : nom du modèle de pare-feu hébergé.
- Fournisseur : Nom du fournisseur du pare-feu — Check Point.
- Mode de déploiement : lechamp Mode dedéploiement est automatiquement renseigné et grisé. Pour lefournisseurCheck Point, le mode de déploiement est Bridge.
- Modèle : Modèle de machine virtuelle du pare-feu hébergé. Une fois que vous avez sélectionné le fournisseur comme point de contrôle, le champ modèle est automatiquement rempli avec Edge.
- Serveur de gestion principal IP/FQDN : serveur de gestion principal IP/FQDN.
- Serveur de gestion secondaire IP/FQDN : serveur de gestion secondaire IP/FQDN.
- Interfaces de redirection de service : Il s’agit d’interfaces logiques utilisées pour la redirection du trafic entre le SD-WAN et le pare-feu hébergé.
Remarque
L’interface d’entrée de redirection doit être sélectionnée à partir de la direction de l’initiateur de connexion, l’interface de sortie est automatiquement choisie pour le trafic de réponse. Par exemple, si le trafic Internet sortant est redirigé vers le pare-feu hébergé sur Interface-1, le trafic de réponse est automatiquement redirigé vers le pare-feu hébergé sur Interface-2. En outre, il n’y a pas besoin d’Interface-2 s’il n’y a pas de trafic entrant Internet.
Seules deux interfaces de données sont affectées à la machine virtuelle Check Point.
Remarque
Les stratégies de pare-feu SD-WAN sont créées automatiquement pour autoriser le trafic à destination et en provenance des serveurs de gestion de pare-feu hébergés. Cela évite la redirection du trafic de gestion qui provient (ou) du pare-feu hébergé.
La redirection du trafic vers la machine virtuelle du pare-feu peut être effectuée à l’aide des stratégies de pare-feu SD-WAN. Il existe deux méthodes pour créer des stratégies de pare-feu SD-WAN - soit via des modèles de stratégie de pare-feu dansla sectionGlobal ou au niveau du site.
Méthode - 1
- Dans l’interface graphique de Citrix SD-WAN, accédez à Configuration développez Virtual WAN > Configuration Editor. Sélectionnez Pare-feu sous Connexions.
- Sélectionnez Stratégies dans la listedéroulanteSection et cliquez sur +Ajouter pour créer une nouvelle stratégie de pare-feu.
- Modifiez le type de stratégie en Pare-feu hébergé. LechampAction est automatiquement rempli pour Rediriger. Sélectionnez le modèle de pare-feu hébergé et l’interfacede redirection deservice dans la liste déroulante. Cliquez sur Ajouter.
Méthode - 2
- Accédez à l’onglet Global et sélectionnez Modèles de stratégie de pare-feu. Cliquez sur + Modèle de stratégie.
- Donnez un nom au modèle de stratégie et cliquez sur Ajouter.
- Cliquez sur + Ajouter en regard de Stratégies de modèles pré-appliance.
- Modifiez le type de stratégie en Pare-feu hébergé. LechampAction est automatiquement rempli pour Rediriger. Sélectionnez le modèle de pare-feu hébergé et l’interfacede redirection deservice dans la liste déroulante. Cliquez sur Ajouter.
- Accédez à Connexions > Pare-feu, puis sélectionnez la stratégie de pare-feu (que vous avez créée) sous le champ Nom. Cliquez sur Appliquer.
Lorsque toute la configuration du réseau est en mode opérationnel, vous pouvez surveiller la connexion sous Surveillance > Pare-feu dans lalisteStatistiques, sélectionnez Stratégies de filtrage.
