المقدمة
يوضح هذا المستند كيفية تكوين الوصول الآمن باستخدام جدار حماية Palo Alto.
المتطلبات الأساسية
المتطلبات
توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
- جدار حماية إصدار Palo Alto 11.x
- الوصول الآمن
- Cisco Secure Client - VPN
- Cisco Secure Client - ZTNA
- زتنا بدون زوايا
المكونات المستخدمة
تستند المعلومات الواردة في هذا المستند إلى:
- جدار حماية إصدار Palo Alto 11.x
- الوصول الآمن
- Cisco Secure Client - VPN
- Cisco Secure Client - ZTNA
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
معلومات أساسية
الوصول الآمن - Palo Alto
صممت Cisco Secure Access لحماية التطبيقات الخاصة وتوفير الوصول إليها، على أساس محلي وقائمة على الشبكات. كما أنه يضمن الاتصال من الشبكة إلى الإنترنت. ويتحقق ذلك من خلال تطبيق أساليب وطبقات أمنية متعددة، تهدف جميعها إلى الحفاظ على المعلومات عند الوصول إليها عبر السحابة.
التكوين
تكوين شبكة VPN على الوصول الآمن
انتقل إلى لوحة الإدارة الخاصة ب Secure Access.
الوصول الآمن - الصفحة الرئيسية
- انقر فوق
Connect > Network Connections
الوصول الآمن - إتصالات الشبكة
- تحت النقر
Network Tunnel Groups فوق + Add
الوصول الآمن - مجموعات نفق الشبكة
- التكوين
Tunnel Group Name، Region و
Device Type
- انقر
Next
![مجموعة أنفاق الشبكة - الإعدادات العامة](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-04.png)
ملاحظة: أختر أقرب منطقة إلى موقع جدار الحماية.
- قم بتكوين
Tunnel ID Format و Passphrase
- انقر
Next
![مجموعة نفق الشبكة - تنسيق معرف النفق](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-05.png)
- قم بتكوين نطاقات عناوين IP أو البيئات المضيفة التي قمت بتكوينها على الشبكة وتريد تمرير حركة المرور من خلال الوصول الآمن
- انقر
Save
الوصول الآمن - مجموعات الأنفاق - خيارات التوجيه
بعد النقر فوق المعلومات Save حول عرض النفق، الرجاء حفظ تلك المعلومات للخطوة التالية، Configure the tunnel on Palo Alto.
بيانات النفق
![Secure Access - بيانات لإعداد النفق](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-07.png)
تكوين النفق على بالو ألتو
تكوين واجهة النفق
انتقل إلى لوحة معلومات بالو ألتو.
Network > Interfaces > Tunnel
Click Add
![بالو ألتو - الواجهة](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-08.png)
- تحت
Config القائمة، قم بتكوين Virtual Router Security Zone، وتعيينSuffix Number
![بالو ألتو - واجهة النفق](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-09.png)
- تحت
IPv4، قم بتكوين IP غير قابل للتوجيه. على سبيل المثال، يمكنك إستخدام 169.254.0.1/30
- انقر
OK
![Palo Alto - واجهة النفق - IPv4](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-10.png)
وبعد ذلك، يمكن تكوين شيء من هذا القبيل:
![بالو ألتو - النفق المكون](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-11.png)
إذا قمت بتكوينه على هذا النحو، فيمكنك النقر Commit لحفظ التكوين والمتابعة بالخطوة التالية، Configure IKE Crypto Profile.
تكوين ملف تعريف تشفير IKE
لتكوين ملف تعريف التشفير، انتقل إلى:
Network > Network Profile > IKE Crypto
- انقر
Add
![بالو ألتو - IKE تشفير](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-12.png)
- تكوين المعلمات التالية:
Name: قم بتكوين اسم لتعريف ملف التعريف.
DH GROUP: المجموعة 19
AUTHENTICATION: غير المصادقة
ENCRYPTION: طراز AES-256-GCM
Timers
Key Lifetime: 8 ساعات
IKEv2 Authentication:0
- بعد تهيئة كل شيء، انقر فوق
OK
![بالو ألتو - ملف تعريف التشفير IKE](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-13.png)
إذا قمت بتكوينه على هذا النحو، فيمكنك النقر Commit لحفظ التكوين والمتابعة بالخطوة التالية، Configure IKE Gateways.
تكوين بوابات IKE
لتكوين بوابات IKE
Network > Network Profile > IKE Gateways
- انقر
Add
![بالو ألتو - بوابات IKE](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-14.png)
- تكوين المعلمات التالية:
Name: قم بتكوين اسم لتحديد بوابات IKE.
Version : وضع IKEv2 فقط
Address Type : IPv4
Interface : حدد واجهة WAN للإنترنت.
Local IP Address: حدد IP الخاص بواجهة WAN للإنترنت.
Peer IP Address Type : IP
Peer Address: إستخدام IP الخاص ب Primary IP Datacenter IP Address، والمقدم في بيانات نفق الخطوة.
Authentication: مفتاح مشترك مسبقا
Pre-shared Key : إستخدام passphrase معطى في بيانات نفق الخطوة.
Confirm Pre-shared Key : إستخدام passphrase معطى في بيانات نفق الخطوة.
Local Identification : إختيار User FQDN (Email address) واستخدام Primary Tunnel ID المعطى في الخطوة، بيانات النفق.
Peer Identification : IP Addressإختيار واستخدام Primary IP Datacenter IP Address.
![بالو ألتو - بوابات IKE - عام](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-15.png)
![Palo Alto - بوابات IKE - خيارات متقدمة](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-16.png)
إذا قمت بتكوينه على هذا النحو، فيمكنك النقر Commit لحفظ التكوين والمتابعة بالخطوة التالية، Configure IPSEC Crypto.
تكوين ملف تعريف تشفير IPSec
لتكوين بوابات IKE، انتقل إلى Network > Network Profile > IPSEC Crypto
![بالو ألتو - تشفير IPsec](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-17.png)
- تكوين المعلمات التالية:
Name: إستخدام اسم لتعريف ملف تعريف IPsec للوصول الآمن
IPSec Protocol: ESP
ENCRYPTION: طراز AES-256-GCM
DH Group: بدون PFS، ساعة واحدة
- انقر
OK
![بالو ألتو - ملف تعريف تشفير IPsec](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-18.png)
إذا قمت بتكوينه على هذا النحو، فيمكنك النقر Commit لحفظ التكوين والمتابعة بالخطوة التالية، Configure IPSec Tunnels.
تكوين أنفاق IPSec
للتكوين، IPSec Tunnelsانتقل إلى Network > IPSec Tunnels.
![بالو ألتو - أنفاق IPsec](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-19.png)
- تكوين المعلمات التالية:
Name: إستخدام اسم لتحديد نفق الوصول الآمن
Tunnel Interface: أختر واجهة النفق التي تم تكوينها على الخطوة، قم بتكوين واجهة النفق
.
Type: مفتاح تلقائي
Address Type: IPv4
IKE Gateways: أختر بوابات IKE التي تم تكوينها على الخطوة، قم بتكوين بوابات IKE.
IPsec Crypto Profile: أختر بوابات IKE التي تم تكوينها على الخطوة، وقم بتكوين ملف تعريف تشفير IPSec
- تحديد خانة الاختيار ل
Advanced Options
IPSec Mode Tunnel: إختيار النفق.
- انقر
OK
![Palo Alto - أنفاق IPsec - التكوين](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-20.png)
الآن تم إنشاء شبكة VPN الخاصة بك بنجاح، يمكنك المتابعة مع الخطوة، Configure Policy Based Forwarding.
تكوين إعادة التوجيه المستندة إلى السياسة
للتكوين، Policy Based Forwardingانتقل إلى Policies > Policy Based Forwarding.
![بالو ألتو - إعادة التوجيه المستندة إلى السياسة](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-21.png)
- تكوين المعلمات التالية:
General
Name: إستخدام اسم لتحديد الوصول الآمن، إعادة توجيه قاعدة السياسات (التوجيه حسب الأصل)
Source
Zone: حدد المناطق التي لديك خطط لتوجيه حركة المرور منها استنادا إلى الأصل
Source Address: تكوين المضيف أو الشبكات التي تريد إستخدامها كمصدر.
Source Users: قم بتكوين المستخدمين الذين تريد توجيه حركة المرور (فقط إذا كان ذلك ينطبق)
Destination/Application/Service
Destination Address: يمكنك تركها كأي، أو يمكنك تحديد نطاقات عناوين الوصول الآمن (100.64.0.0/10)
Forwarding
Action: إلى الأمام
Egress Interface: أختر واجهة النفق التي تم تكوينها على الخطوة، قم بتكوين واجهة النفق
.
Next Hop:None
- انقر
OK و Commit
![بالو ألتو - إعادة التوجيه القائمة على السياسة - عام](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-22.png)
![بالو ألتو - إعادة توجيه قائمة على السياسة - المصدر](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-23.png)
![Palo Alto - إعادة التوجيه المستندة إلى السياسة - الوجهة](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-24.png)
![بالو ألتو - إعادة توجيه قائمة على السياسة - التوجيه](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-25.png)
الآن لديك كل شيء تم تكوينه على Palo Alto، وبعد تكوين المسار، يمكن إنشاء النفق، ويجب متابعة تكوين RA-VPN، أو ZTA المستندة إلى المستعرض، أو ZTA المستندة إلى العميل على لوحة معلومات الوصول الآمن.