Configuración del acceso seguro con el firewall de Palo Alto

Introducción

Este documento describe cómo configurar Secure Access con el Firewall de Palo Alto.

---

Prerequisites

• Configurar aprovisionamiento de usuarios
• Configuración de Autenticación SSO de ZTNA
• Configurar acceso seguro VPN de acceso remoto

---

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Acceso seguro
• ZTNA sin cliente
• Cisco Secure Client - VPN
• Cisco Secure Client: ZTNA
• Firewall de la versión 11.x de Palo Alto

---

Componentes Utilizados

La información de este documento se basa en: 

• Acceso seguro
• Cisco Secure Client - VPN
• Cisco Secure Client: ZTNA
• Firewall de la versión 11.x de Palo Alto

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

---

Antecedentes

Acceso seguro - Palo Alto

Cisco ha diseñado Secure Access para proteger y proporcionar acceso a aplicaciones privadas, tanto in situ como basadas en la nube. También protege la conexión de la red a Internet. Esto se consigue mediante la implementación de varios métodos y capas de seguridad, todo ello con el objetivo de preservar la información a medida que acceden a ella a través de la nube.

---

Configurar

Configuración de la VPN en Secure Access

1. Acceda al panel de administración de Secure Access.

Acceso seguro - Página principal

---

2. Haga clic en Connect > Network Connections.

---

Acceso seguro - Conexiones de red

---

3. En Network Tunnel Groups, haga clic en +Agregar.

Acceso seguro - Grupos de túnel de red

---

4. Configure el nombre del grupo de túnel, la región y el tipo de dispositivo.

5. Haga clic en Next.

---

---

---

6. Configure el Formato de ID de Túnel y la Frase de Paso.

7. Haga clic en Next.

---

8. Configure los rangos de direcciones IP o los hosts que ha configurado en la red y desee transmitir el tráfico a través de Secure Access.

9. Haga clic en Guardar.

Acceso seguro - Grupos de túnel - Opciones de routing

---

10. Después de hacer clic en Save, se muestra la información del túnel. Guarde esta información para el siguiente paso: Configure el túnel en Palo Alto.

---

Datos del túnel

---

Configuración del túnel en Palo Alto

Configuración de la interfaz de túnel

Vaya al panel de Palo Alto.

1. Red > Interfaces > Túnel.

2. Haga clic en Agregar.

---

3. En el menú Config, configure el router virtual, zona de seguridad, y asigne un Suffix Number. 

---

4. En IPv4, configure una dirección IP no enrutable. Por ejemplo, puede utilizar 169.254.0.1/30.

5. Haga clic OK.

---

6. Después de eso, usted puede tener algo así configurado:

---

7. Si la tiene configurada de esta manera, haga clic en Commit para guardar su configuración y continuar con el siguiente paso: Configure IKE Crypto Profile.

---

Configurar perfil criptográfico IKE

Para configurar el perfil criptográfico, vaya a: 

1. Network > Network Profile > IKE Crypto.

2. Haga clic en Add (Agregar).

---

3. Configure los siguientes parámetros:

• Nombre: Configure un nombre para identificar el perfil.
• GRUPO DH: grupo19
• AUTENTICACIÓN: non-auth
• CIFRADO: aes-256-gcm
• Cronómetros: 
  
  • Duración de la clave: 8 horas
  • Autenticación IKEv2: 0

4. Después de que todo esté configurado, haga clic en Aceptar.

---

5. Si la tiene configurada de esta manera, haga clic en Commit para guardar su configuración y continuar con el siguiente paso: Configure IKE Gateways.

---

Configuración de gateways IKE

Para configurar puertas de enlace IKE

1. Red > Perfil de red > Gateways IKE.

2. Haga clic en Agregar.

3. Configure los siguientes parámetros:

• Nombre: configure un nombre para identificar las puertas de enlace Ike
• Versión: Modo IKEv2 solamente
• Tipo de dirección: IPv4
• Interfaz: Seleccione la interfaz WAN de Internet
• Dirección IP local: Seleccione la IP de la interfaz WAN de Internet
• Tipo de dirección IP del par: IP
• Dirección de Peer: Utilice la dirección IP de la dirección IP del centro de datos IP principal, que se indica en el paso Tunnel Data
• Autenticación: Clave precompartida
• Clave precompartida: Utilice la frase de contraseña proporcionada en el paso Tunnel Data
• Confirmar clave previamente compartida: Utilice la frase de contraseña proporcionada en el paso Tunnel Data
• Identificación local: Elija User FQDN (Email address) y utilice el Primary Tunnel ID dado en el paso, Tunnel Data
• Identificación de pares: Elija IP Address y utilice la dirección IP del centro de datos IP principal

---

---

4. Haga clic en Opciones avanzadas.

• Habilitar NAT Traversal
• Seleccione el perfil de cifrado IKE creado en el paso Configure IKE Crypto Profile
• Marque la casilla de verificación para Comprobación de actividad

5. Haga clic en Aceptar.

---

---

6. Si la tiene configurada de esta manera, haga clic en Commit para guardar su configuración y continuar con el siguiente paso: Configure IPSEC Crypto.

---

Configurar perfil criptográfico IPSEC

1. Para configurar las puertas de enlace IKE, vaya a Red > Perfil de red > IPSEC Crypto.

2. Haga clic en Add (Agregar).

---

---

3. Configure los siguientes parámetros: 

• Nombre: Utilice un nombre para identificar el perfil IPSec de acceso seguro
• Protocolo IPSec: ESP
• CIFRADO: aes-256-gcm
• Grupo DH: no-pfs, 1 hora

4. Haga clic en Aceptar.

---

---

5. Si la tiene configurada de esta manera, haga clic en Commit para guardar su configuración y continuar con el siguiente paso: Configure IPSec Tunnels.

---

Configuración de túneles IPSec

1. Para configurar los túneles IPSec, navegue hasta Red > Túneles IPSec.

2. Haga clic en Agregar.

---

---

3. Configure los siguientes parámetros:

• Nombre: Utilice un nombre para identificar el túnel de acceso seguro
• Interfaz de túnel: Elija la interfaz de túnel configurada en el paso, Configure the tunnel interface
• Tipo: Tecla automática
• Tipo de dirección: IPv4
• Gateways IKE: Elija las puertas de enlace IKE configuradas en el paso Configure IKE Gateways
• Perfil criptográfico IPsec:  Elija las Gateways IKE configuradas en el paso, Configure IPSEC Crypto Profile
• Marque la casilla de verificación de Opciones avanzadas
  • Túnel de modo IPSec: Elegir túnel

4. Haga clic OK

---

---

---

Ahora que su VPN se ha creado correctamente, puede continuar con el paso Configure Policy Based Forwarding.

---

Configurar el reenvío basado en políticas

1. Para configurar Policy Based Forwarding, vaya a Policies > Policy Based Forwarding.

2. Haga clic en Add (Agregar).

---

3. Configure los siguientes parámetros:

• General 
  • Nombre: Utilice un nombre para identificar el acceso seguro y el reenvío de base de políticas (routing por origen)
• Fuente 
  • Zona(s): Seleccione la zona o zonas en las que planea enrutar el tráfico según el origen
  • Dirección de la fuente: Configure el host o las redes que desea utilizar como origen
  • Usuarios de origen: Configure los usuarios a los que desea enrutar el tráfico (si procede)
• Destino/Aplicación/Servicio 
  • dirección de destino: Puede dejar como Any (Cualquiera) o especificar los intervalos de direcciones de Secure Access (100.64.0.0/10)
• Reenvío 
  • Acción: Reenvío
  • Interfaz de salida: Elija la interfaz de túnel configurada en el paso, Configure the tunnel interface.
  • Salto siguiente: Ninguno

4. Haga clic en Aceptar y Confirmar.

---

---

---

---

---

Ahora tiene todo configurado en Palo Alto, después de configurar la ruta, el túnel se puede establecer. Debe continuar configurando RA-VPN, ZTA basado en navegador o ZTA base de cliente en el panel de acceso seguro.

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	09-Jul-2026	Se han actualizado la ortografía, la gramática, el espaciado, se han añadido líneas a secciones separadas para facilitar la lectura y se han actualizado los vínculos para abrirlos en una nueva página.
1.0	31-Jan-2024	Versión inicial