# Palo Alto as a NAT Gateway

Sử dụng hướng dẫn bên dưới dể làm việc với Private Node group thông qua Palo Alto.

## Điều kiện cần

Để có thể sử dụng Palo Alto làm NAT Gateway cho Cluster trên hệ thống VKS, bạn cần có:

* Một **server (VM) Windows** đã được khởi tạo trên hệ thống **vServer** với cấu hình như sau:

<table><thead><tr><th width="240">Item</th><th>Cấu hình</th></tr></thead><tbody><tr><td>Flavor</td><td>2x4</td></tr><tr><td>Volume</td><td>20 GB</td></tr><tr><td>VPC</td><td>10.76.0.0/16</td></tr><tr><td>Subnet</td><td>10.76.0.4/24</td></tr><tr><td>Network Interface 1</td><td>10.76.0.3</td></tr></tbody></table>

* Một **server (VM) Palo Alto** được khởi tạo trên hệ thống **vMarketPlace** theo hướng dẫn bên dưới với cấu hình như sau:

<table><thead><tr><th width="244">Item</th><th>Cấu hình</th></tr></thead><tbody><tr><td>Flavor</td><td>2x8</td></tr><tr><td>Volume</td><td>60 GB</td></tr><tr><td>VPC</td><td>10.76.0.0/16</td></tr><tr><td>Network Interface 1</td><td>10.76.255.4</td></tr><tr><td>Network Interface 2</td><td>10.76.0.4</td></tr></tbody></table>

## Khởi tạo Palo Alto <a href="#toc165621057" id="toc165621057"></a>

**Bước 1:** Truy cập vào <https://marketplace.console.vngcloud.vn/>

**Bước 2:** Tại màn hình chính, thực hiện tìm kiếm **Palo Alto**, tại dịch vụ **Palo Alto**, chọn **Launch**.

**Bước 3:** Lúc này, bạn cần thiết lập cấu hình cho **Palo Alto.** Cụ thể, bạn có thể chọn **Volume, IOPS, Network, Security Group** mong muốn. **Bạn cần lựa chọn VPC và Subnet giống với VPC và Subnet mà bạn lựa chọn sử dụng cho Cluster của bạn.** Ngoài ra bạn cũng cần chọn Một Server Group đã tồn tại hoặc chọn **Dedicated SOFT ANTI AFFINITY group** để chúng tôi tự động tạo một server group mới.

**Bước 4:** Tiến hành thanh toán như các tài nguyên bình thường trên GreenNode.

***

## Cấu hình thông số cho Palo Alto <a href="#toc165621058" id="toc165621058"></a>

**Bước 1:** Sau khi khởi tạo Palo Alto từ vMarketPlace theo hướng dẫn bên trên, bạn có thể truy cập vào giao diện vServer tại [đây](https://hcm-3.console.vngcloud.vn/vserver/v-server/cloud-server) để kiểm tra server chạy Palo Alto đã được khởi tạo xong chưa. <mark style="color:red;">**Tiếp theo, bạn mở rule Any trên Security Group cho server Palo Alto vừa tạo. Việc mở rule Any trên Security Group sẽ cho phép tất cả lưu lượng truy cập đến server Palo Alto.**</mark>

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-aba8c994ad1d47708e85cf7b9d883c068660c5a1%2Fpfsense_1.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 2: Sau khi server chạy Palo Alto được khởi tạo thành công**. Để vào GUI của Palo Alto bạn cần có 1 vServer chạy Windows. Sau đó bạn truy cập vào bằng IP Internal Interface với tên đăng nhập và mật khẩu mặc định là: **admin/admin**

Lưu ý: Về phần Network của vServer Windows để truy cập vào GUI của Palo Alto. Bạn cần tạo cùng VPC và sử dụng subnet khác với subnet có priority là 1 khi khởi tạo Palo Alto

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-c1f35c3d1fc0bd05551d98d4e39afd2f450900d6%2F3.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 3**: Sau khi đăng nhập xong, bạn cần thực hiện thay đổi mật khẩu lần đầu. Hãy nhập mật khẩu mới theo mong muốn của bạn.

**Bước 4:** Bạn cần tiến hành khởi tạo 1 Zone Inside và 1 Zone Outside theo hướng dẫn bên dưới:

* Chọn bút **Add**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-17ffa32f7ddacfdb1e7d0eb18bab68906277f431%2F4.png?alt=media" alt=""><figcaption></figcaption></figure>

* Đặt tên cho **Zone**: **Inside** sau đó chọn **OK**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-6764203fc0ea742d1285017959bedb0a17ff9f32%2F5.png?alt=media" alt=""><figcaption></figcaption></figure>

* Làm tương tự đối với **Zone Outside**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-a4bb59d6c16386dbafe1b023b781985b24dd1b45%2F6.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 5**: Cấu hình cho **External Interface**

* Interface Type: **Layer 3**
* Virtual Router: **default**
* Security Zone: **Outside**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-ffcca056e33f883d6252b62cbdb559a8548bcf46%2F7.png?alt=media" alt=""><figcaption></figcaption></figure>

* Chuyển sang **Tab IPv4** và chọn **Add** để nhập **Static IP** cho **External Interface**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-5d88e03fb0978e0068890b23419ff96c15222fe5%2F8.png?alt=media" alt=""><figcaption></figcaption></figure>

* Để lấy thông tin IP này bạn vào phần **Network Interface** của **Palo Alto** để xem thông tin

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-3a7ddd74a0794751ca6b2e45ef118d1ce188f2b0%2F9.png?alt=media" alt=""><figcaption></figcaption></figure>

* Chuyển sang tab **Advanced**, ở phần **MTU** bạn cần chỉnh thành **1400**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-d8cf3e9011c02676b960e08dc018af561525fb86%2F10.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 6:** Thực hiện cấu hình tương tự cho các **Internal Interface**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-1afe0e9a0a75323eb47d963d50c3698cb33c1e06%2F11.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **IPv4:** bạn tiến hành thiết lập **Static IP**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-9c0b423cdae820b3d8de9818a2fd8f56afa0dbf9%2F12.png?alt=media" alt=""><figcaption></figcaption></figure>

* Chuyển sang tab **Advanced**, ở phần **MTU** bạn chỉnh thành 1400

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-10246ac5e38f3843f6a74497bfd7af03efab5c68%2F13.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 7:** Tạo **static route**

* Vào phần **Network** -> **Virtual Routers**-> Chọn **default**-> Chuyển sang mục **Static Routes**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-3194ddca360c172155d700bfc626721c4f5b41ff%2F14.png?alt=media" alt=""><figcaption></figcaption></figure>

* Thực hiện tạo 1 **route** như hình bên dưới

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-d30a2ba8f86ba4abd3df0d8ab9570d1720a89eeb%2F15.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 8:** Tạo **Security Policy Rule**

* Vào phần **Policies** -> **Security** ->**Add**
* Tại tab **General**, bạn cần đặt tên cho rule

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-37df1df74f91810ef31f7cd3f0ad2d34ff28398a%2F16.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Source**, thiết lập các thông tin như **Source Zone**, **Source Address**, **Source User, Source Device**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-9a7bf2c8c206c3f09d50a04ffaaeaf7ada7e27b8%2F17.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Destination**, thiết lập các thông tin như **Destination Zone, Destination Address, Destination Device**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-e0e8042a3a5f314d2b42d7ce196f15c071e222d1%2F18.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Application**, thiết lập các thông tin như **Application, Depend On**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-45f509096a40035943f17acfb00ca861d6fa595c%2F19.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Service/URL Category**, thiết lập các thông tin như **Service, URL Category**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-b53ea91214cba008ea806cf68ab103ed7bcf2857%2F20.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Actions**, thiết lập các thông tin như **Action, Log, Profile, Other Settings**

**Bước 9**: Tạo **rule NAT** để các VM có thể đi ra Internet

* Vào phần **Policies** -> **NAT** -> **Add**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-d34e711b6b3fa0d758cc77f0c470d2c8c5465b0b%2F1.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **General** đặt tên cho **NAT rule**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-62814b880ed26021a79b49040b9e4833b6dd1b64%2F2.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tại tab **Original Packe**t chọn **Source Zone, Destination Zone, Destination Interface, Service, Source Address, Destination Address**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-f3ba468891cfb317f290562c906af86bae9538fa%2F3.png?alt=media" alt=""><figcaption></figcaption></figure>

* Tạo tab **Translated Packet** thực hiện cấu hình như hình bên dưới

Lưu ý: Cần thay đổi **IP Address** thành địa chỉ **Static IP** mà bạn đã cấu hình ở bước 6

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-20c02e90341e690ed4bd97dc2f8325fb677e47c1%2F4.png?alt=media" alt=""><figcaption></figcaption></figure>

**Bước 10**: Tiến hành **Commit**

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-c2691279c2e4596a770e76a5d35997eb385e2644%2F5.png?alt=media" alt=""><figcaption></figcaption></figure>

***

## Khởi tạo Route Table <a href="#khoitaomotpublicclustervoiprivatenodegroup-khoitaoroutetable" id="khoitaomotpublicclustervoiprivatenodegroup-khoitaoroutetable"></a>

Sau khi Palo Alto được khởi tạo và cấu hình thành công, bạn cần tạo một Route table để kết nối tới các mạng khác nhau. Cụ thể thực hiện theo các bước sau để tạo Route table:

**Bước 1:** Truy cập vào <https://hcm-3.console.vngcloud.vn/vserver/network/route-table>

**Bước 2:** Tại thanh menu điều hướng, chọn **Tab Network/ Route table.**

**Bước 3:** Chọn **Create Route table.**

**Bước 4:** Nhập tên mô tả cho Route table. Tên Route table có thể bao gồm các chữ cái (a-z, A-Z, 0-9, '\_', '-'). Độ dài dữ liệu đầu vào nằm trong khoảng từ 5 đến 50. Nó không được bao gồm khoảng trắng ở đầu hoặc ở cuối.

**Bước 5:** Chọn **VPC** cho Route table của bạn, nếu chưa có VPC cần tạo mới một VPC theo hướng dẫn tại [Trang VPC](https://docs.vngcloud.vn/pages/viewpage.action?pageId=49648039). **VPC sử dụng để thiết lập Route table phải là VPC được chọn sử dụng cho Palo Alto và Cluster của bạn.**

**Bước 6**: Chọn **Create** để tạo mới Route table.

**Bước 7:** Chọn <img src="https://docs-admin.vngcloud.vn/download/thumbnails/73762068/image2024-4-16_15-40-3.png?version=1&#x26;modificationDate=1713256805000&#x26;api=v2" alt="" data-size="line">tại Route table vừa tạo sau đó chọn **Edit Routes.**

**Bước 8:** Tại phần thêm mới **Route** hãy nhập vào các thông tin:

* Đối với Destination, hãy nhập **Destination CIDR là 0.0.0.0/0**
* Đối với Target, hãy nhập **Target CIDR là địa chỉ IP Network Interface 2 của Palo Alto.**

Ví dụ:

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-f2ce363bb830cb7e3607f230606d1987bc481d93%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

## **Kiểm tra kết nối**

* Tiến hành ping 8.8.8.8 hoặc google.com

<figure><img src="https://3672463924-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FB0NrrrdJdpYOYzRkbWp5%2Fuploads%2Fgit-blob-654a9e03047677c995e2619dc6cda5a81267b685%2F7.png?alt=media" alt=""><figcaption></figcaption></figure>