Спатула

Эта роль Ansible применяет шаблоны лучших практик безопасности к устройствам Palo Alto Networks.

Цель

Эта роль использует лучшие практические шаблоны Iron Skillet для обеспечения конфигурации брандмауэров PAN-OS в соответствии с рекомендациями лучших практик Palo Alto Networks. Эти шаблоны загружаются из следующего репозитория на GitHub при выполнении плейбука и применяются к каждому устройству или к консоли управления Panorama.

• https://github.com/PaloAltoNetworks/iron-skillet

После применения этих шаблонов может быть проведена оценка лучших практик, чтобы оценить эффективность полученной конфигурации.

Требования

Эта роль использует библиотеки Python, указанные ниже. Все они доступны через PyPI и могут быть установлены с помощью установщика pip. Рекомендуется использовать virtualenv, чтобы избежать конфликтов с системными библиотеками.

• pandevice - Фреймворк для взаимодействия с устройствами Palo Alto Networks через API.
• pan-python - Многофункциональный набор инструментов для Palo Alto Networks PAN-OS, Panorama, WildFire и AutoFocus.
• xmltodict - Преобразование между XML строкой и Python dict.
• passlib - Всесторонний фреймворк для хеширования паролей, поддерживающий более 30 схем.

Переменные роли

Переменные, используемые в этой роли, перечислены в таблице ниже с их значениями по умолчанию (см. defaults/main.yml). Переменные в строчном регистре являются переменными плейбука, тогда как переменные В_ВЕРХНЕМ_РЕГИСТРЕ используются для подстановки переменных Jinja2 в конфигурационных шаблонах. Некоторые переменные помечены как только для Panorama, в то время как другие применимы как для Panorama, так и для брандмауэров.

Зависимости

Эта роль зависит от официальных модулей Ansible для Palo Alto Networks, которые содержатся в следующей роли Galaxy:

• PaloAltoNetworks.paloaltonetworks

Модули Ansible Palo Alto Networks используют dict для передачи учетных данных инвентаря и аутентификации. Этот dict может быть определен один раз в плейбуке с переданными значениями переменных ip_address, username и password любым поддерживаемым способом.

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

Примеры плейбуков

Ниже приведены примеры плейбуков Ansible, которые используют эту роль для применения шаблонов лучших практик безопасности к Panorama и брандмауэру:

Panorama:

---
- name: Настроить Panorama с шаблонами лучших практик для PAN-OS 9.0
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Брандмауэр:

---
- name: Настроить брандмауэр с шаблонами лучших практик для PAN-OS 8.1
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Лицензия

Apache 2.0

Информация об авторе

Роль создана Робертом Хагеном (@stealthllama).