Nous avons développé cet atelier avec notre partenaire Palo Alto Networks. Vos informations personnelles pourront être partagées avec ce partenaire si vous avez accepté de recevoir des actualités sur les produits, des annonces et des offres sur la page de profil de votre compte.

GSP1115

Présentation

Dans cet atelier, vous allez déployer et faire évoluer VM-Series ML-NGFW pour sécuriser une architecture en étoile dans Google Cloud. VM-Series permet aux entreprises de sécuriser leurs applications, leurs utilisateurs et leurs données déployées sur Google Cloud et d'autres environnements de virtualisation.

Points abordés

Objectifs de cet atelier :

• Comprendre la topologie utilisée dans l'atelier
• Sécuriser le trafic réseau VPC avec VM-Series
• Effectuer un autoscaling de VM-Series avec des charges de travail cloud

Préparation

Avant de cliquer sur le bouton "Démarrer l'atelier"

Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.

Cet atelier pratique vous permet de suivre les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Des identifiants temporaires vous sont fournis pour vous permettre de vous connecter à Google Cloud le temps de l'atelier.

Pour réaliser cet atelier :

• Vous devez avoir accès à un navigateur Internet standard (nous vous recommandons d'utiliser Chrome).

• Vous disposez d'un temps limité. N'oubliez pas qu'une fois l'atelier commencé, vous ne pouvez pas le mettre en pause.

Démarrer l'atelier et se connecter à la console Google Cloud

1. Cliquez sur le bouton Démarrer l'atelier. Si l'atelier est payant, une boîte de dialogue s'affiche pour vous permettre de sélectionner un mode de paiement. Sur la droite, vous trouverez le panneau Préparation et accès à l'atelier, qui contient les éléments suivants :

   • Le bouton Ouvrir la console Google Cloud
   • Les identifiants temporaires (nom d'utilisateur et mot de passe) que vous devez utiliser pour cet atelier
   • Des informations complémentaires vous permettant d'effectuer l'atelier, si nécessaire

   Notez que le minuteur de l'atelier se trouve en haut de la page et indique le temps restant.

2. Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans une fenêtre en navigation privée si vous utilisez Chrome).

   L'atelier lance les ressources, puis ouvre la page "Se connecter" dans un nouvel onglet.

   Conseil : Réorganisez les onglets dans des fenêtres distinctes, placées côte à côte.

   Remarque : Si la boîte de dialogue Sélectionner un compte s'affiche, cliquez sur Utiliser un autre compte.

3. Si nécessaire, copiez le nom d'utilisateur ci-dessous et collez-le dans la boîte de dialogue Se connecter.

   {{{user_0.username | "Username"}}}

   Vous trouverez également le nom d'utilisateur dans le panneau Préparation et accès à l'atelier.

4. Cliquez sur Suivant.

5. Copiez le mot de passe ci-dessous et collez-le dans la boîte de dialogue Bienvenue.

   {{{user_0.password | "Password"}}}

   Vous trouverez également le mot de passe dans le panneau Préparation et accès à l'atelier.

6. Cliquez sur Suivant.

   Important : Vous devez utiliser les identifiants fournis pour l'atelier. N'utilisez pas les identifiants de votre compte Google Cloud. Remarque : Si vous utilisez votre propre compte Google Cloud pour cet atelier, des frais supplémentaires pourront vous être facturés.

7. Accédez aux pages suivantes :

   • Acceptez les conditions d'utilisation.
   • N'ajoutez pas d'options de récupération ni d'authentification à deux facteurs (ce compte est temporaire).
   • Ne vous inscrivez pas à des essais sans frais.

Après quelques instants, la console Cloud s'ouvre dans cet onglet.

Remarque : Pour accéder aux produits et services Google Cloud, cliquez sur le menu de navigation ou saisissez le nom du service ou du produit dans le champ Recherche.

Tâche 1 : Examiner la topologie utilisée dans l'atelier

Dans cette tâche, prenez quelques instants pour examiner le diagramme de l'environnement de l'atelier. Des pare-feu VM-Series sont déployés dans un groupe d'instances géré régional pour sécuriser le trafic nord/sud et est/ouest de deux réseaux VPC spoke.

Tâche 2 : Sécuriser le trafic avec VM-Series

Dans cette tâche, vous allez protéger un réseau VPC contre les menaces liées à Internet à l'aide des outils App-ID™ et Threat Prevention™ disponibles avec le pare-feu VM-Series.

Étape 1. Sécuriser le trafic Internet entrant

Le trafic Internet entrant est distribué par un équilibreur de charge TCP/UDP externe aux interfaces non fiables de VM-Series. VM-Series inspecte et traduit le trafic destiné à la VM A dans le VPC spoke 1.

1. Accédez au service Web sur la VM A par le biais de l'équilibreur de charge externe et du pare-feu VM-Series.

   http://{{{project_0.startup_script.ext_lb_ip|pending}}}
   La requête adressée au service Web aboutit, car VM-Series est préconfiguré pour autoriser le trafic de navigation Web d'Internet vers la VM A.

2. Accédez au service Jenkins sur la VM A en ajoutant :8080 à l'URL de l'équilibreur de charge externe.

   http://{{{project_0.startup_script.ext_lb_ip|pending}}}:8080
   La requête adressée au serveur Jenkins échoue, car l'application Jenkins n'a pas été activée dans les règles de sécurité VM-Series. Les pare-feu Palo Alto Networks exploitent App-ID^TM pour identifier et activer les applications avec des contrôles de couche 7.

Étape 2 : Accéder à VM-Series

Accédez à l'UI de VM-Series via l'adresse externe associée à son interface de gestion.

1. Cliquez sur Activer Cloud Shell en haut de la console Google Cloud.

   

2. Dans Cloud Shell, récupérez l'adresse EXTERNAL_IP associée à l'interface de gestion de VM-Series.

   gcloud compute instances list \ --filter='tags.items=(vmseries-tutorial)' \ --format='value(EXTERNAL_IP)' 1.2.3.4

3. Dans un autre onglet de navigateur, connectez-vous à VM-Series à l'aide de l'adresse EXTERNAL_IP (utilisez https).

   Clé	Valeur
   Username
   Password

Étape 3. Activer les applications de manière sécurisée

Palo Alto Networks App-ID™ vous permet de voir les applications sur votre réseau et d'en apprendre davantage sur leurs caractéristiques comportementales et leur risque relatif. Vous pouvez utiliser App-ID™ pour autoriser le trafic Jenkins via les règles de sécurité VM-Series.

1. Sur VM-Series, accédez à Policies → Security (Règles > Sécurité). Cliquez sur la colonne "allowed applications" (applications autorisées) dans la règle de sécurité inbound-web.

   

2. Cliquez sur ADD (Ajouter) et recherchez jenkins. Cliquez sur OK.

   

3. Cliquez sur Commit → Commit (Valider → Valider) pour appliquer les modifications à la configuration VM-Series.

   

4. Une fois la validation effectuée, accédez de nouveau au service Jenkins.

   http://{{{project_0.startup_script.ext_lb_ip|pending}}}:8080
   La page Jenkins s'affiche, car vous avez activé l'application jenkins dans les règles de sécurité de VM-Series.

5. Sur VM-Series, accédez à Monitor → Traffic (Surveiller → Trafic). Saisissez la requête ci-dessous pour filtrer sur le trafic jenkins.

   ( app eq jenkins ) Notez que l'application jenkins a été refusée avant d'être ajoutée à la stratégie de sécurité inbound-web.
   
   En effet, VM-Series utilise plusieurs techniques d'identification pour déterminer l'identité exacte des applications qui traversent votre réseau, y compris celles qui tentent d'échapper à la détection en se faisant passer pour du trafic légitime.

Étape 4 : Sécuriser le trafic VPC sortant

VM-Series sécurise le trafic Internet sortant des réseaux spoke et le trafic est-ouest entre les réseaux spoke. Tout le trafic sortant des réseaux spoke est acheminé vers un équilibreur de charge TCP/UDP interne qui le distribue aux interfaces de confiance de VM-Series pour inspection.

1. Dans Cloud Shell, connectez-vous en SSH à la VM B du réseau spoke2.

   ssh paloalto@{{{project_0.startup_script.ext_lb_ip|pending}}} Pal0Alt0@123 À l'instar de l'exemple jenkins de l'étape précédente, la session SSH est distribuée par l'équilibreur de charge externe. VM-Series inspecte et traduit le trafic destiné à la VM B.

2. Depuis la VM B, essayez de télécharger un pseudo-fichier malveillant depuis Internet.

   wget www.eicar.org/download/eicar.com.txt Resolving www.eicar.org (www.eicar.org)... 89.238.73.97, 2a00:1828:1000:2497::2 Connecting to www.eicar.org (www.eicar.org)|89.238.73.97|:80... connected. HTTP request sent, awaiting response... 503 Service Unavailable 2023-04-14 20:16:57 ERROR 503: Service Unavailable. Le fichier eicar est considéré comme sûr et est utilisé pour tester les fonctionnalités de prévention des menaces.

3. Générez un pseudo-trafic malveillant de la VM B vers la VM A.

   curl http://10.1.0.10/cgi-bin/../../../..//bin/cat%20/etc/passwd curl -H 'User-Agent: () { :; }; 123.123.123.123:9999' http://10.1.0.10/cgi-bin/test-critical

4. Sur VM-Series, accédez à Monitor → Threat (Surveiller → Menace) pour afficher les journaux de menaces.

   

Cliquez sur Vérifier ma progression pour valider l'objectif. Activer l'application Jenkins de manière sécurisée avec App-ID

Tâche 3 : Effectuer l'autoscaling de VM-Series

L'autoscaling vous permet de faire évoluer le pare-feu VM-Series qui protège vos assets cloud tout en assurant une haute disponibilité grâce à la redondance interzone.

Le pare-feu VM-Series publie des métriques PAN-OS™ natives dans Google Cloud Monitoring. Chaque métrique peut être définie comme paramètre d'autoscaling dans le groupe d'instances géré.

Étape 1. Examiner les métriques PAN-OS dans Cloud Monitoring

L'atelier crée un tableau de bord Cloud Monitoring personnalisé qui présente plusieurs métriques de VM-Series.

1. Dans Google Cloud, sélectionnez Surveillance → Tableaux de bord. Sélectionnez le tableau de bord Métriques VM-Series.

   

2. Le tableau de bord affiche différentes métriques PAN-OS du groupe d'instances VM-Series.

   Ces métriques peuvent être utilisées dans le groupe d'instances géré régional pour le scaling des pare-feu VM-Series.
   
   Par exemple, vous pouvez effectuer un scaling de VM-Series si l'utilisation du processeur du plan de données dépasse 90 % pendant plus de 5 minutes.

Étape 2 : Effectuer le scaling de VM-Series

Le groupe d'instances géré créé dans l'atelier définit le nombre minimal et le nombre maximal d'instances répliquées VM-Series sur 1. Vous allez modifier le nombre minimal et le nombre maximal d'instances répliquées pour augmenter manuellement le nombre de pare-feu en cours d'exécution.

1. Dans Google Cloud, accédez à Compute Engine → Groupes d'instances → vmseries. Cliquez sur MODIFIER.

   

2. Dans Taille du groupe et autoscaling → Autoscaling, modifiez le nombre minimal et le nombre maximal d'instances :

   Clé	Valeur
   Nombre minimal d'instances	2
   Nombre maximal d'instances	3

   

3. Cliquez sur Enregistrer.

4. Accédez à Compute Engine → Instances de VM. Un nouveau pare-feu doit maintenant être déployé.

5. Copiez l'adresse IP publique associée à NIC1 sur le nouveau pare-feu et collez-la dans un onglet de navigateur (utilisez https).

   Clé	Valeur
   Username
   Password

   Dans les environnements de production, il est recommandé d'utiliser Panorama. Panorama vous permet de faire évoluer les pare-feu horizontalement tout en les gérant comme une seule et même entité.

6. Sur le VM-Series mis à l'échelle, accédez à Monitor → Traffic (Surveiller → Trafic). Les journaux de trafic doivent contenir des entrées, ce qui indique que le VM-Series mis à l'échelle traite désormais le trafic.

   

Cliquez sur Vérifier ma progression pour valider l'objectif. Effectuer un autoscaling de VM-Series

Félicitations !

Félicitations ! Vous avez terminé l'atelier. Vous avez découvert les concepts fondamentaux de la mise en réseau qui vous permettent de déployer et de faire évoluer le pare-feu nouvelle génération Palo Alto Networks VM-Series dans Google Cloud.

Étapes suivantes et informations supplémentaires

Pour en savoir plus, cliquez sur les liens suivants :

• Pour en savoir plus, consultez la page https://paloaltonetworks.com.
• Si vous rencontrez des problèmes avec cet atelier, veuillez nous envoyer un e-mail à l'adresse google-tech@paloaltonetworks.com.

Formations et certifications Google Cloud

Les formations et certifications Google Cloud vous aident à tirer pleinement parti des technologies Google Cloud. Nos cours portent sur les compétences techniques et les bonnes pratiques à suivre pour être rapidement opérationnel et poursuivre votre apprentissage. Nous proposons des formations pour tous les niveaux, à la demande, en salle et à distance, pour nous adapter aux emplois du temps de chacun. Les certifications vous permettent de valider et de démontrer vos compétences et votre expérience en matière de technologies Google Cloud.

Dernière mise à jour du manuel : 11 novembre 2025

Dernier test de l'atelier : 11 novembre 2025

Copyright 2026 Google LLC. Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms d'entreprises et de produits peuvent être des marques des entreprises auxquelles ils sont associés.