Sicheren Zugriff mit Palo Alto Firewall konfigurieren

Einleitung

In diesem Dokument wird beschrieben, wie Sie sicheren Zugriff mit der Palo Alto Firewall konfigurieren.

---

Voraussetzungen

• Konfiguration der Benutzerbereitstellung
• Konfiguration der ZTNA SSO-Authentifizierung
• Konfigurieren des sicheren Remotezugriff-VPN

---

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Sicherer Zugriff
• Clientless-ZTNA
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x Version Firewall

---

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf: 

• Sicherer Zugriff
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x Version Firewall

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

Sicherer Zugriff - Palo Alto

Cisco hat Secure Access entwickelt, um den Zugriff auf private Anwendungen vor Ort und in der Cloud zu schützen. Außerdem wird die Verbindung vom Netzwerk zum Internet gesichert. Dies wird durch die Implementierung mehrerer Sicherheitsmethoden und -ebenen erreicht, die alle darauf abzielen, die Informationen beim Zugriff über die Cloud zu erhalten.

---

Konfigurieren

Konfigurieren des VPN für sicheren Zugriff

1. Navigieren Sie zum Admin-Bereich von Sicherer Zugriff.

Sicherer Zugriff - Hauptseite

---

2. Klicken Sie auf Verbinden > Netzwerkverbindungen.

---

Sicherer Zugriff - Netzwerkverbindungen

---

3. Klicken Sie unter Netzwerk-Tunnelgruppen auf +Hinzufügen.

Sicherer Zugriff - Netzwerk-Tunnelgruppen

---

4. Konfigurieren Sie den Tunnelgruppennamen, die Region und den Gerätetyp.

5. Klicken Sie auf Weiter.

---

---

---

6. Konfigurieren Sie das Tunnel-ID-Format und die Passphrase.

7. Klicken Sie auf Weiter.

---

8. Konfigurieren Sie die IP-Adressbereiche oder Hosts, die Sie in Ihrem Netzwerk konfiguriert haben, und leiten Sie den Datenverkehr über Secure Access weiter.

9. Klicken Sie auf Speichern.

Sicherer Zugriff - Tunnelgruppen - Routing-Optionen

---

10. Nachdem Sie Saveauf klicken, werden die Informationen über den Tunnel angezeigt, speichern Sie diese Informationen für den nächsten Schritt; Konfigurieren Sie den Tunnel auf Palo Alto.

---

Tunneldaten

---

Tunnel auf Palo Alto konfigurieren

Konfigurieren der Tunnelschnittstelle

Navigieren Sie zum Palo Alto Dashboard.

1. Netzwerk > Schnittstellen > Tunnel.

2. Klicken Sie auf Hinzufügen.

---

3. Konfigurieren Sie im Menü Config (Konfiguration) den virtuellen Router, die Sicherheitszone, und weisen Sie eine Suffix Numberzu. 

---

4. Konfigurieren Sie unter IPv4eine nicht routbare IP-Adresse. Sie können beispielsweise 169.254.0.1/30 verwenden.

5. Klicken Sie OK.

---

6. Danach können Sie etwas wie dieses konfigurieren lassen:

---

7. Wenn Sie die Konfiguration wie folgt vorgenommen haben, klicken Sie auf Bestätigen, um die Konfiguration zu speichern, und fahren Sie mit dem nächsten Schritt fort: Konfigurieren Sie das IKE-Kryptoprofil.

---

IKE-Verschlüsselungsprofil konfigurieren

Um das Kryptografieprofil zu konfigurieren, navigieren Sie zu: 

1. Network > Network Profile > IKE Crypto.

2. Klicken Sie auf Hinzufügen.

---

3. Konfigurieren Sie die nächsten Parameter:

• Name: Konfigurieren Sie einen Namen zur Identifizierung des Profils.
• DH-GRUPPE: Gruppe19
• AUTHENTIFIZIERUNG: nicht authentisch
• VERSCHLÜSSELUNG: aes-256-gcm
• Timer: 
  
  • Wichtige Lebenszeitgarantie: 8 Stunden
  • IKEv2-Authentifizierung: 0

4. Nachdem alles konfiguriert ist, klicken Sie auf OK.

---

5. Wenn Sie die Konfiguration wie folgt vorgenommen haben, klicken Sie auf "Bestätigen", um die Konfiguration zu speichern und mit dem nächsten Schritt fortzufahren: IKE-Gateways konfigurieren.

---

Konfigurieren von IKE-Gateways

IKE-Gateways konfigurieren

1. Netzwerk > Netzwerkprofil > IKE-Gateways.

2. Klicken Sie auf Hinzufügen.

3. Konfigurieren Sie die nächsten Parameter:

• Name: Konfigurieren Sie einen Namen, um die IKE-Gateways zu identifizieren.
• Version: Nur IKEv2-Modus
• Adresstyp: IPv4
• Schnittstelle: Auswahl Ihrer Internet-WAN-Schnittstelle
• Lokale IP-Adresse: Wählen Sie die IP Ihrer Internet-WAN-Schnittstelle aus.
• IP-Adresstyp des Peers: IP
• Peer-Adresse: Verwenden Sie die IP-Adresse des primären IP-Rechenzentrums, die im Schritt Tunneldaten angegeben ist.
• Authentifizierung: Vorläufiger gemeinsamer Schlüssel
• Vorläufiger gemeinsamer Schlüssel: Verwenden Sie die im Schritt Tunneling-Daten angegebene Passphrase
• Vorinstallierten Schlüssel bestätigen: Verwenden Sie die im Schritt Tunneling-Daten angegebene Passphrase
• Lokale Identifizierung: Wählen Sie Benutzer-FQDN (E-Mail-Adresse) aus, und verwenden Sie die im Schritt Tunneldaten angegebene primäre Tunnel-ID.
• Peer-Identifizierung: Wählen Sie die IP-Adresse aus, und verwenden Sie die primäre IP-Adresse des Rechenzentrums.

---

---

4. Klicken Sie auf Erweiterte Optionen.

• NAT-Traversal aktivieren
• Wählen Sie das in Schritt erstellte IKE-Kryptoprofil aus. Konfigurieren Sie das IKE-Kryptoprofil.
• Aktivieren Sie das Kontrollkästchen "Lebensdauerprüfung".

5. Klicken Sie auf OK.

---

---

6. Wenn Sie die Konfiguration wie folgt vorgenommen haben, klicken Sie auf Bestätigen, um die Konfiguration zu speichern, und fahren Sie mit dem nächsten Schritt fort: IPSEC-Verschlüsselung konfigurieren.

---

IPSEC-Verschlüsselungsprofil konfigurieren

1. Um IKE-Gateways zu konfigurieren, navigieren Sie zu Network > Network Profile > IPSEC. Crypto.

2. Klicken Sie auf Hinzufügen.

---

---

3. Konfigurieren Sie die nächsten Parameter: 

• Name: Identifizieren des IPsec-Profils für sicheren Zugriff mit einem Namen
• IPSec-Protokoll: ESP
• VERSCHLÜSSELUNG: aes-256-gcm
• DH-Gruppe: kein PFS, 1 Stunde

4. Klicken Sie auf OK.

---

---

5. Wenn Sie die Konfiguration wie folgt vorgenommen haben, klicken Sie auf Bestätigen, um die Konfiguration zu speichern, und fahren Sie mit dem nächsten Schritt fort: IPSec-Tunnel konfigurieren.

---

Konfigurieren von IPSec-Tunneln

1. Um IPSec-Tunnel zu konfigurieren, navigieren Sie zu Network > IPSec Tunnels.

2. Klicken Sie auf Hinzufügen.

---

---

3. Konfigurieren Sie die nächsten Parameter:

• Name: Verwenden Sie einen Namen, um den Secure Access-Tunnel zu identifizieren.
• Tunnelschnittstelle: Wählen Sie die auf dem Schritt konfigurierte Tunnelschnittstelle, Konfigurieren Sie die Tunnelschnittstelle.
• Typ: Automatische Taste
• Adresstyp: IPv4
• IKE-Gateways: Wählen Sie die IKE-Gateways aus, die im Schritt IKE-Gateways konfigurieren konfiguriert wurden.
• IPsec-Verschlüsselungsprofil:  Wählen Sie die IKE-Gateways aus, die im Schritt IPSEC-Kryptoprofil konfigurieren konfiguriert wurden.
• Aktivieren Sie das Kontrollkästchen für Erweiterte Optionen.
  • IPSec-Modus-Tunnel: Tunnel auswählen

4. Klicken Sie OK

---

---

---

Nachdem Ihr VPN erfolgreich erstellt wurde, können Sie mit dem Schritt Configure Policy Based Forwarding (Konfigurieren der richtlinienbasierten Weiterleitung) fortfahren.

---

Richtlinienbasierte Weiterleitung konfigurieren

1. Navigieren Sie zum Konfigurieren Policy Based Forwardingzu Policies > Policy Based Forwarding.

2. Klicken Sie auf Hinzufügen.

---

3. Konfigurieren Sie die nächsten Parameter:

• Allgemein 
  • Name: Verwenden Sie einen Namen, um den sicheren Zugriff und die richtlinienbasierte Weiterleitung (Routing nach Ursprung) zu identifizieren.
• Quelle 
  • Zone(n): Wählen Sie die Zone(n) aus, in denen Sie Datenverkehr basierend auf dem Ursprung weiterleiten möchten.
  • Source address: Konfigurieren des Hosts oder der Netzwerke, die als Quelle verwendet werden sollen
  • Quellbenutzer: Konfigurieren Sie die Benutzer, an die der Datenverkehr weitergeleitet werden soll (falls zutreffend).
• Ziel/Anwendung/Dienst 
  • Zieladresse: Sie können Any (Beliebig) auswählen oder die Adressbereiche von Secure Access (100.64.0.0/10) angeben.
• Forwarding 
  • Aktion: Weiterleiten
  • Ausgangsschnittstelle: Wählen Sie die im Schritt konfigurierte Tunnelschnittstelle aus, und konfigurieren Sie die Tunnelschnittstelle.
  • Nächster Hop: None

4. Klicken Sie auf OK und Übernehmen.

---

---

---

---

---

Jetzt haben Sie alles auf Palo Alto konfiguriert, nachdem Sie die Route konfiguriert haben, kann der Tunnel eingerichtet werden. Sie müssen mit der Konfiguration von RA-VPN, Browser-Based ZTA oder Client Base ZTA auf Secure Access Dashboard fortfahren.

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	09-Jul-2026	Aktualisierte Rechtschreibung, Grammatik, Abstände, Zeilen wurden zur besseren Lesbarkeit in separaten Abschnitten hinzugefügt, und aktualisierte Links zum Öffnen einer neuen Seite.
1.0	31-Jan-2024	Erstveröffentlichung