espátula

Este rol de Ansible aplica plantillas de mejores prácticas de seguridad a dispositivos de Palo Alto Networks.

Propósito

Este rol utiliza las plantillas de mejores prácticas de Iron Skillet para asegurar que los cortafuegos PAN-OS estén configurados de acuerdo con las recomendaciones de mejores prácticas de Palo Alto Networks. Estas plantillas se descargan del siguiente repositorio de GitHub cuando se ejecuta el playbook y se aplican a cada dispositivo o a una consola de gestión Panorama.

• https://github.com/PaloAltoNetworks/iron-skillet

Se puede realizar una Evaluación de Mejores Prácticas después de aplicar estas plantillas para medir la efectividad de la configuración resultante.

Requisitos

Este rol utiliza las bibliotecas de Python que se enumeran a continuación. Todas están disponibles a través de PyPI y se pueden instalar utilizando el instalador pip. Se recomienda el uso de virtualenv para evitar conflictos con las bibliotecas del sistema.

• pandevice - Marco para interactuar con dispositivos de Palo Alto Networks a través de la API
• pan-python - Conjunto de herramientas para Palo Alto Networks PAN-OS, Panorama, WildFire y AutoFocus
• xmltodict - Convertir entre cadenas XML y diccionarios de Python
• passlib - Marco comprensivo de hashing de contraseñas que soporta más de 30 esquemas

Variables del Rol

Las variables utilizadas en este rol se enumeran en la tabla a continuación, junto con sus valores predeterminados (ver defaults/main.yml). Las variables en minúsculas son variables del playbook, mientras que las variables MAYÚSCULAS se utilizan para la sustitución de variables Jinja2 en las plantillas de configuración. Algunas variables están marcadas como solo para Panorama, mientras que otras son aplicables tanto a Panorama como a los cortafuegos.

Dependencias

Este rol depende de los módulos oficiales de Ansible de Palo Alto Networks, que se contienen en el siguiente rol de Galaxy:

• PaloAltoNetworks.paloaltonetworks

Los módulos de Ansible de Palo Alto Networks utilizan un dict proveedor para pasar el inventario y las credenciales de autenticación. Este dict puede definirse una vez en el playbook con valores para las variables ip_address, username, y password pasadas a través de cualquier método soportado.

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

Ejemplos de Playbooks

Los siguientes son ejemplos de playbooks de Ansible que utilizan este rol para aplicar plantillas de mejores prácticas de seguridad a Panorama y a un cortafuegos:

Panorama:

---
- name: Preparar Panorama con plantillas de mejores prácticas para PAN-OS 9.0
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Cortafuegos:

---
- name: Preparar el cortafuegos con plantillas de mejores prácticas para PAN-OS 8.1
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Licencia

Apache 2.0

Información del Autor

Rol creado por Robert Hagen (@stealthllama).