Einleitung
In diesem Dokument wird beschrieben, wie Sie sicheren Zugriff mit der Palo Alto Firewall konfigurieren.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
- Palo Alto 11.x Version Firewall
- Sicherer Zugriff
- Cisco Secure Client - VPN
- Cisco Secure Client - ZTNA
- Clientless-ZTNA
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf:
- Palo Alto 11.x Version Firewall
- Sicherer Zugriff
- Cisco Secure Client - VPN
- Cisco Secure Client - ZTNA
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Hintergrundinformationen
Sicherer Zugriff - Palo Alto
Cisco hat Secure Access entwickelt, um den Zugriff auf private Anwendungen vor Ort und in der Cloud zu schützen. Außerdem wird die Verbindung vom Netzwerk zum Internet gesichert. Dies wird durch die Implementierung mehrerer Sicherheitsmethoden und -ebenen erreicht, die alle darauf abzielen, die Informationen beim Zugriff über die Cloud zu erhalten.
Konfigurieren
Konfigurieren des VPN für sicheren Zugriff
Navigieren Sie zum Admin-Bereich von Secure Access.
Sicherer Zugriff - Hauptseite
- Klicken Sie
Connect > Network Connections
Sicherer Zugriff - Netzwerkverbindungen
- Klicken Sie unter
Network Tunnel Groups auf + Add
Sicherer Zugriff - Netzwerk-Tunnelgruppen
- Konfiguration
Tunnel Group Name Region und
Device Type
- Klicken Sie auf
Next
![Netzwerk-Tunnelgruppe - Allgemeine Einstellungen](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-04.png)
Hinweis: Wählen Sie die Region aus, die dem Standort Ihrer Firewall am nächsten ist.
- Konfigurieren Sie die
Tunnel ID Format und Passphrase
- Klicken Sie auf
Next
![Netzwerk-Tunnelgruppe - Tunnel-ID-Format](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-05.png)
- Konfigurieren Sie die IP-Adressbereiche oder Hosts, die Sie in Ihrem Netzwerk konfiguriert haben, und leiten Sie den Datenverkehr über sicheren Zugriff weiter.
- Klicken Sie auf
Save
Sicherer Zugriff - Tunnelgruppen - Routing-Optionen
Nachdem Sie auf Save die Informationen über den Tunnel wird angezeigt, speichern Sie diese Informationen für den nächsten Schritt, Configure the tunnel on Palo Alto.
Tunneldaten
![Sicherer Zugriff - Daten für Tunnel-Setup](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-07.png)
Konfigurieren Sie den Tunnel auf Palo Alto
Konfigurieren der Tunnelschnittstelle
Navigieren Sie zum Palo Alto Dashboard.
Network > Interfaces > Tunnel
Click Add
![Palo Alto - Schnittstelle](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-08.png)
- Konfigurieren Sie
Config im Menü die Virtual Router, Security Zone und weisen SieSuffix Number
![Palo Alto - Tunnelschnittstelle](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-09.png)
- Konfigurieren Sie unter
IPv4 eine nicht routbare IP-Adresse. Sie können z. B. 169.254.0.1/30
- Klicken Sie auf
OK
![Palo Alto - Tunnelschnittstelle - IPV4](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-10.png)
Danach können Sie etwas wie das hier konfigurieren lassen:
![Palo Alto - Tunnelkonfiguration](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-11.png)
Wenn Sie die Konfiguration auf diese Weise konfiguriert haben, können Sie auf klicken, Commit um die Konfiguration zu speichern, und mit dem nächsten Schritt fortfahrenConfigure IKE Crypto Profile.
IKE-Verschlüsselungsprofil konfigurieren
Um das Kryptografieprofil zu konfigurieren, navigieren Sie zu:
Network > Network Profile > IKE Crypto
- Klicken Sie auf
Add
![Palo Alto - IKE-Verschlüsselung](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-12.png)
- Konfigurieren Sie die folgenden Parameter:
Name: Konfigurieren Sie einen Namen zur Identifizierung des Profils.
DH GROUP: Gruppe19
AUTHENTICATION: nicht authentifiziert
ENCRYPTION: aes-256-gcm
Timers
Key Lifetime: 8 Stunden
IKEv2 Authentication:0
- Nachdem Sie alle Einstellungen konfiguriert haben, klicken Sie auf
OK
![Palo Alto - IKE-Verschlüsselungsprofil](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-13.png)
Wenn Sie die Konfiguration auf diese Weise konfiguriert haben, können Sie auf klicken, Commit um die Konfiguration zu speichern, und mit dem nächsten Schritt fortfahren. Configure IKE Gateways.
Konfigurieren von IKE-Gateways
IKE-Gateways konfigurieren
Network > Network Profile > IKE Gateways
- Klicken Sie auf
Add
![Palo Alto - IKE Gateways](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-14.png)
- Konfigurieren Sie die folgenden Parameter:
Name: Konfigurieren Sie einen Namen, um die IKE-Gateways zu identifizieren.
Version : Nur IKEv2-Modus
Address Type :IPv4
Interface : Wählen Sie Ihre Internet-WAN-Schnittstelle aus.
Local IP Address: Wählen Sie die IP-Adresse Ihrer Internet-WAN-Schnittstelle aus.
Peer IP Address Type :IP
Peer Address: Verwenden Sie die IP-Adresse von Primary IP Datacenter IP Address, die im Schritt Tunneldaten angegeben ist.
Authentication: Vorläufiger gemeinsamer Schlüssel
Pre-shared Key : Verwenden Sie die im Schritt Tunneldaten passphrase angegebenen Daten.
Confirm Pre-shared Key : Verwenden Sie die im Schritt Tunneldaten passphrase angegebenen Daten.
Local Identification : Wählen Sie User FQDN (Email address) und verwenden Sie die Primary Tunnel ID im Schritt, Tunnel Data.
Peer Identification : IP AddressWählen und verwenden Sie den Primary IP Datacenter IP Address.
![Palo Alto - IKE Gateways - Allgemeines](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-15.png)
- Klicken Sie auf
Advanced Options
Enable NAT Traversal
- Wählen Sie die aus dem Schritt IKE-Verschlüsselungsprofil konfigurieren
IKE Crypto Profile erstellte aus.
- Aktivieren Sie das Kontrollkästchen für
Liveness Check
- Klicken Sie auf
OK
![Palo Alto - IKE Gateways - Erweiterte Optionen](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-16.png)
Wenn Sie die Konfiguration auf diese Weise konfiguriert haben, können Sie auf klicken, Commit um die Konfiguration zu speichern, und mit dem nächsten Schritt fortfahren. Configure IPSEC Crypto.
IPSEC-Verschlüsselungsprofil konfigurieren
Zum Konfigurieren von IKE-Gateways navigieren Sie zu Network > Network Profile > IPSEC Crypto
![Palo Alto - IPsec-Verschlüsselung](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-17.png)
- Konfigurieren Sie die folgenden Parameter:
Name: Verwenden Sie einen Namen, um das IPsec-Profil für sicheren Zugriff zu identifizieren.
IPSec Protocol: ESP
ENCRYPTION: aes-256-gcm
DH Group: no-pfs, 1 Stunde
- Klicken Sie auf
OK
![Palo Alto - IPsec-Verschlüsselungsprofil](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-18.png)
Wenn Sie die Konfiguration auf diese Weise konfiguriert haben, können Sie auf klicken, Commit um die Konfiguration zu speichern, und mit dem nächsten Schritt fortfahren. Configure IPSec Tunnels.
Konfigurieren von IPSec-Tunneln
Navigieren Sie zum Konfigurieren IPSec Tunnelszu Network > IPSec Tunnels.
![Palo Alto - IPsec-Tunnel](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-19.png)
- Konfigurieren Sie die folgenden Parameter:
Name: Verwenden Sie einen Namen, um den sicheren Zugriffstunnel zu identifizieren.
Tunnel Interface: Wählen Sie die Tunnelschnittstelle, die im Schritt konfiguriert wurde, Konfigurieren Sie die Tunnelschnittstelle.
Type: Auto-Taste
Address Type:IPv4
IKE Gateways: Wählen Sie die IKE-Gateways aus, die im Schritt konfiguriert wurden, Konfigurieren Sie IKE-Gateways.
IPsec Crypto Profile: Wählen Sie die IKE-Gateways aus, die auf dem Schritt konfiguriert wurden, und konfigurieren Sie das IPSEC-Kryptoprofil.
- Aktivieren Sie das Kontrollkästchen für
Advanced Options
IPSec Mode Tunnel: Wählen Sie Tunnel aus.
- Klicken Sie auf
OK
![Palo Alto - IPsec-Tunnel - Konfiguration](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-20.png)
Nachdem Ihr VPN erfolgreich erstellt wurde, können Sie mit dem Schritt fortfahren Configure Policy Based Forwarding.
Richtlinienbasierte Weiterleitung konfigurieren
Navigieren Sie zum Konfigurieren Policy Based Forwardingzu Policies > Policy Based Forwarding.
![Palo Alto - Policy Based Forwarding](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-21.png)
- Konfigurieren Sie die folgenden Parameter:
General
Name: Verwenden Sie einen Namen, um den sicheren Zugriff zu identifizieren, Policy Base Forwarding (Routing nach Ursprung)
Source
Zone: Wählen Sie die Zonen aus, in denen Sie den Datenverkehr basierend auf dem Ursprung weiterleiten möchten.
Source Address: Konfigurieren Sie den Host oder die Netzwerke, die Sie als Quelle verwenden möchten.
Source Users: Konfigurieren Sie die Benutzer, die den Datenverkehr weiterleiten sollen (nur falls zutreffend).
Destination/Application/Service
Destination Address: Sie können es als Any (Beliebig) belassen oder die Adressbereiche von Secure Access (100.64.0.0/10) angeben.
Forwarding
- Klicken
OK und Commit
![Palo Alto - Policy Based Forwarding - Allgemein](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-22.png)
![Palo Alto - Richtlinienbasierte Weiterleitung - Quelle](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-23.png)
![Palo Alto - Richtlinienbasierte Weiterleitung - Ziel](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-24.png)
![Palo Alto - Richtlinienbasierte Weiterleitung - Routing](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-25.png)
Jetzt haben Sie alles auf Palo Alto konfiguriert. Nachdem Sie die Route konfiguriert haben, kann der Tunnel eingerichtet werden, und Sie müssen die Konfiguration des RA-VPN, der browserbasierten ZTA oder der Client Base ZTA auf dem Secure Access Dashboard fortsetzen.