VPN IPSEC Fortinet for Azure

How to VPN IPESec Fortinet for Azure Cloud.

 

ISO 5.4

http://cookbook.fortinet.com/ipsec-vpn-microsoft-azure-54/

Gateway

Nat Traversal “Disable”
Dead Peer Detection “On idle”
IKE “V2”

Phase1

Encryption “AES128”
Authentication “SHA256”
Diffie-Hellman Group “2”
Key Lifetime (seconds) “28800”

Phase2

Encryption “AES128”
Authenticaton “SHA256”
(PFS) “Disable”
Local Port “Enable”
Remote Port “Enable”
Protocol “Enable”
Auto-negotiate “Disable”
Auto Keep Alive “Disable”
Key Lifetime “seconds”
Seconds “27000”

 

IOS 5.2

http://cookbook.fortinet.com/download/3127

Gateway

Nat Traversal “Disable”
Dead Peer Detection “Disable”

IKE “V2”

Phase1

Encryption “AES128”
Authentication “SHA1”
Encryption “AES256”
Authentication “SHA256”

Diffie-Hellman Group “2”
Key Lifetime (seconds) “56600”

Phase2

Encryption “AES128”
Authentication “SHA1”
Encryption “AES256”
Authentication “SHA256”
Enable replay Detaction “Disable”
(PFS) “Disable”
Local Port “Enable”
Remote Port “Enable”
Protocol “Enable”
Auto-negotiate “Disable”
Auto Keep Alive “Disable”
Key Lifetime “seconds”
Seconds “2900” “Segunda suporte Microsoft esses valores devem ser maiores que do Azure”

Best Regards.

Configuration VPN Palo Alto Networks for Microsoft Azure with VPN RoutedBased

Olá,

Neste tutorial iremos criar um tunnel de VPN entra Azure (RoutedBased) e Palo Alto (Iremos abordar somente configuração do no Palo Alto).

Iremos considerar o seguinte cenário:

Rede Local (Palo Alto): 10.91.0.0/16
Rede Remota (Azure):   10.255.0.0/16

https://docs.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-about-vpn-devices

No Palo Alto

1-) Passo

IKE Crypto

Name: ike_crypto_azure

DH Group: group2

Encryption: aes-128-cbc

Authentication: sha1

Key Lifetime: Seconds 29000

IKEv2 Authentication Multiple: 0

2) Passo

IPSec Crypto

Name: ipsec_crypt_azure

Encryption: aes-256-cbc

Authentication: sha1

DH Group: no-pfs

Lifetime: Hours 8

3) Passo

IKE Gateway (General)

Name: ike_gateway_azure

Version: IKEv2 only mode

Address Type: IPv4

Interface: ae1.200 (Neste exemplo essa é minha interface)

Peer IP Type: Static

Peer IP Address: IP do PUBLICO

Pre-shared Key: XXXXXXXXXXXX

Local Identification: Nome

Local Identification: Nome

4) Passo

IKE Gateway (Advanced Options)

Common Options: Enable Passive Mode

IKEv2: ike_crypt_azure

Liveness Check: Interval (sec) 5

5) Passo

Interfaces

Add

Name: ipesec_tunnel_azure

Tunnel Interface: tunnel.114

Type: Auto Key

Address Typer: IPv4

IKE Gateway: ike_gateway_azure

IPSec Crypto Profile: ipsec_crypt_azure

Show Advanced Options
Enable Replay Protection

6) Passo

Proxy ID

Sem Proxy ID

 

Pronto!!! Tunel de VPN entre Palo Alto e Azure está ok.

Não esqueça de criar:

Route – Zone – Rule Firewall

DNS Server Cache Snooping Remote Information Disclosure

Segurança da informação:

DNS Server Cache Snooping Remote Information Disclosure

http://support.simpledns.com/kb/a153/what-is-dns-cache-snooping-and-how-do-i-prevent-it.aspx

Literatura
http://technet.microsoft.com/en-us/library/cc771738.aspx
http://technet.microsoft.com/en-us/library/cc775637%28v=WS.10%29.aspx
http://technet.microsoft.com/en-us/library/cc961401.aspx
http://technet.microsoft.com/en-us/library/cc755941%28v=ws.10%29.aspx
http://www.rootsecure.net/content/downloads/pdf/dns_cache_snooping.pdf

Correção:
http://support.microsoft.com/kb/2678371

recursion

Vulnerability in SSL 3.0 Could Allow Information Disclosure – Microsoft Security Advisory 3009008 – SSLv3 Padding Oracle On Downgraded Legacy Encryption Vulnerability (POODLE)

Recentemente o pessoal do departamento da Segurança da Informação, abriu uma requisição referente a seguinte vulnerabilidade:

SSLv3 Padding Oracle On Downgraded Legacy Encryption Vulnerability (POODLE)

Literatura Microsoft
https://technet.microsoft.com/en-us/library/security/3009008.aspx

Literatura Oracle
http://www.oracle.com/technetwork/topics/security/poodlecve-2014-3566-2339408.html

Correção Microsoft:
https://support.microsoft.com/kb/3009008

ssl30

Seja Feliz!!!!!!

Disable RC4 Windows Server 2012 R2

Cenário 40 Servidores Windows Server 2012 R2 (Datacenter da empresa), isso mesmo 2012 R2 produção e homologação, o pessoal da segunda da informação descobriu um brecha de segurança o RC4.

http://support.microsoft.com/kb/2868725/en-us

A Microsoft disponibilizou o cabe acima para corrigir este problema, porém não existe para Windows Server 2012 R2, a solução foi a boa e velha chave de registro.

———————————————–

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
“Enabled”=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
“Enabled”=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
“Enabled”=dword:00000000

————————————————–

Eu não fiz isso servidor por servidor, eu criei um GPO/GPP e distribui por ela.

Referencias:

http://littlehyenas.wordpress.com/2014/04/12/disable-rc4-cipher-suites-on-remote-desktop/
http://support.microsoft.com/kb/2868725/en-us
http://blogs.technet.com/b/srd/archive/2013/11/12/security-advisory-2868725-recommendation-to-disable-rc4.aspx

Ou podem usar este software, mas tem que executar maquina a maquina.

https://www.nartac.com/Products/IISCrypto

 

Os números de 2014

Os duendes de estatísticas do WordPress.com prepararam um relatório para o ano de 2014 deste blog.

Aqui está um resumo:

A sala de concertos em Sydney, Opera House tem lugar para 2.700 pessoas. Este blog foi visto por cerca de 38.000 vezes em Se fosse um show na Opera House, levaria cerca de 14 shows lotados para que muitas pessoas pudessem vê-lo.

Clique aqui para ver o relatório completo