简介
本文档介绍如何使用Palo Alto防火墙配置安全访问。
先决条件
要求
Cisco 建议您了解以下主题:
- Palo Alto 11.x版本防火墙
- 安全访问
- 思科安全客户端- VPN
- 思科安全客户端- ZTNA
- 无客户端ZTNA
使用的组件
本文档中的信息基于:
- Palo Alto 11.x版本防火墙
- 安全访问
- 思科安全客户端- VPN
- 思科安全客户端- ZTNA
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您的网络处于活动状态,请确保您了解所有命令的潜在影响。
背景信息
安全访问- Palo Alto
思科设计了安全访问(Secure Access),用于保护和提供对内部和基于云的私有应用的访问。它还可以保护从网络到Internet的连接。这通过实施多种安全方法和层来实现,所有这些方法都旨在保护通过云访问信息时所需的信息。
配置
在安全访问中配置VPN
导航到安全访问的管理面板。
安全访问-主页
- 点击
Connect > Network Connections
安全访问-网络连接
- 在
Network Tunnel Groups下单击 + Add
安全访问-网络隧道组
- 配置
Tunnel Group Name、Region和
Device Type
- 点击
Next
![网络隧道组-常规设置](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-04.png)
- 在路由器上配置
Tunnel ID Format Passphrase
- 点击
Next
![网络隧道组-隧道ID格式](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-05.png)
- 配置已在网络上配置并要通过安全访问传递流量的IP地址范围或主机
- 点击
Save
安全访问-隧道组-路由选项
单击显示的Save 有关隧道的信息后,请保存该信息,以便执行下一步Configure the tunnel on Palo Alto。
隧道数据
![安全访问-用于隧道设置的数据](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-07.png)
在Palo Alto上配置隧道
配置隧道接口
导航至Palo Alto Dashboard。
Network > Interfaces > Tunnel
Click Add
![Palo Alto -接口](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-08.png)
- 在
Config菜单下,配置Virtual Router、Security Zone并指定Suffix Number
![Palo Alto -隧道接口](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-09.png)
- 在
IPv4下,配置不可路由的IP。例如,您可以使用 169.254.0.1/30
- 点击
OK
![Palo Alto -隧道接口- IPV4](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-10.png)
之后,您可以配置如下内容:
![Palo Alto -隧道已配置](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-11.png)
如果已按照此方式进行配置,可以点击Commit 保存配置并继续执行下一步Configure IKE Crypto Profile。
配置IKE加密配置文件
要配置加密配置文件,请导航至:
Network > Network Profile > IKE Crypto
- 点击
Add
![Palo Alto - IKE加密](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-12.png)
- 配置以下参数:
Name:配置名称以标识配置文件。
DH GROUP:组19
AUTHENTICATION:非身份验证
ENCRYPTION:aes-256-gcm
Timers
Key Lifetime:8 小时
IKEv2 Authentication:0
- 完成所有配置后,单击
OK
![Palo Alto - IKE加密配置文件](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-13.png)
如果已按照此方式进行配置,可以点击Commit 保存配置并继续下一步, Configure IKE Gateways.
配置IKE网关
配置IKE网关
Network > Network Profile > IKE Gateways
- 点击
Add
![Palo Alto - IKE网关](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-14.png)
- 配置以下参数:
Name:配置用于标识Ike网关的名称。
Version :仅IKEv2模式
Address Type : IPv4
Interface :选择您的Internet WAN接口。
Local IP Address:选择您的Internet WAN接口的IP。
Peer IP Address Type :IP
Peer Address:使用隧道数据步骤中给定的Primary IP Datacenter IP AddressIP。
Authentication:预共享密钥
Pre-shared Key :使用步骤隧道数据中给定 passphrase 的。
Confirm Pre-shared Key :使用步骤隧道数据中给定 passphrase 的。
Local Identification :选择User FQDN (Email address) 并使用步骤Tunnel Data中给定Primary Tunnel ID 的参数。
Peer Identification :选IP Address择并使用Primary IP Datacenter IP Address。
![Palo Alto - IKE网关-常规](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-15.png)
![Palo Alto - IKE网关-高级选项](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-16.png)
如果已按照此方式进行配置,可以点击Commit 保存配置并继续下一步, Configure IPSEC Crypto.
配置IPSEC加密配置文件
要配置IKE网关,请导航至 Network > Network Profile > IPSEC Crypto
![Palo Alto - IPsec加密](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-17.png)
- 配置以下参数:
Name:使用名称标识安全访问IPsec配置文件
IPSec Protocol:ESP
ENCRYPTION:aes-256-gcm
DH Group:无pfs,1小时
- 点击
OK
![Palo Alto - IPsec加密配置文件](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-18.png)
如果已按照此方式进行配置,可以点击Commit 保存配置并继续下一步, Configure IPSec Tunnels.
配置IPSec隧道
要配置IPSec Tunnels,请导航到Network > IPSec Tunnels。
![Palo Alto - IPsec隧道](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-19.png)
- 配置以下参数:
Name:使用名称标识安全访问隧道
Tunnel Interface:选择在配置隧道接口这一步中配置的隧道接口。
Type:自动密钥
Address Type: IPv4
IKE Gateways:选择在Configure IKE Gateways步骤中配置的IKE网关。
IPsec Crypto Profile:选择在配置IPSEC加密配置文件步骤中配置的IKE网关
- 选中复选框
Advanced Options
- 点击
OK
![Palo Alto - IPsec隧道-配置](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-20.png)
现在您的VPN已成功创建,您可以继续执行步骤 Configure Policy Based Forwarding。
配置基于策略的转发
要配置 Policy Based Forwarding,请导航到 Policies > Policy Based Forwarding.
![Palo Alto -基于策略的转发](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-21.png)
- 配置以下参数:
General
Name:使用名称标识安全访问、策略基础转发(按来源路由)
Source
Zone:选择您计划根据源路由流量的区域
Source Address:配置要用作源的一个或多个主机。
Source Users:配置要路由流量的用户(如果适用)
Destination/Application/Service
Destination Address:您可以将其保留为Any,也可以指定安全访问(100.64.0.0/10)的地址范围
Forwarding
Action:转发
Egress Interface:选择在配置隧道接口这一步中配置的隧道接口。
Next Hop:无
- 点击
OK,然后 Commit
![Palo Alto -基于策略的转发-常规](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-22.png)
![Palo Alto -基于策略的转发-源](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-23.png)
![Palo Alto -基于策略的转发-目标](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-24.png)
![Palo Alto -基于策略的转发-路由](/c/dam/en/us/support/docs/security/secure-access/221589-configure-secure-access-with-palo-alto-f-25.png)
现在,您已在Palo Alto上配置所有内容;配置路由后,可以建立隧道,您需要继续在Secure Access Dashboard上配置RA-VPN、基于浏览器的ZTA或客户端基础ZTA。