Configurazione di Secure Access con Palo Alto Firewall

Introduzione

In questo documento viene descritto come configurare Secure Access con Palo Alto Firewall.

Prerequisiti

• Configura assegnazione ruoli utente
• Configurazione autenticazione SSO ZTNA
• Configura accesso sicuro VPN di accesso remoto

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Accesso sicuro
• ZTNA senza client
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto versione 11.x Firewall

Componenti usati

Le informazioni fornite in questo documento si basano su:

• Accesso sicuro
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto versione 11.x Firewall

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Secure Access - Palo Alto

Cisco ha progettato Secure Access per proteggere e fornire accesso alle applicazioni private, sia in sede che basate su cloud. Inoltre, garantisce il collegamento dalla rete a Internet. Questo risultato è ottenuto attraverso l'implementazione di più metodi e livelli di sicurezza, il tutto finalizzato a preservare le informazioni mentre vi accedono tramite il cloud.

Configurazione

Configurare la VPN su accesso sicuro

1. Passare al pannello di amministrazione di Accesso sicuro.

Secure Access - Pagina principale

2. Fare clic su Connect (Connetti) > Network Connections (Connessioni di rete).

Accesso sicuro - Connessioni di rete

3. In Gruppi di tunnel di rete fare clic su +Aggiungi.

Accesso sicuro - Gruppi di tunnel di rete

4. Configurare il nome del gruppo di tunnel, la regione e il tipo di dispositivo.

5. Fare clic su Avanti.

6. Configurare il formato dell'ID tunnel e la passphrase.

7. Fare clic su Avanti.

8. Configurare gli intervalli di indirizzi IP o gli host configurati nella rete e passare il traffico attraverso l'accesso sicuro.

9. Fare clic su Salva.

Accesso sicuro - Gruppi di tunnel - Opzioni di routing

10. Dopo aver fatto clic su Save (Salva), vengono visualizzate le informazioni sul tunnel. Salvare le informazioni per il passaggio successivo; Configurare il tunnel su Palo Alto.

Dati tunnel

Configurazione del tunnel di Palo Alto

Configurazione dell'interfaccia del tunnel

Passare al dashboard di Palo Alto.

1. Rete > Interfacce > Tunnel.

2. Fare clic su Aggiungi.

3. Nel menu Config, configurare il router virtuale, l'area di sicurezza e assegnare un numero di suffisso.

4. In IPv4, configurare un indirizzo IP non instradabile. Ad esempio, è possibile utilizzare 169.254.0.1/30.

5. Fare clic su OK.

6. Dopo di che, si può avere una cosa come questo configurato:

7. Se la configurazione è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo; Configurare il profilo di crittografia IKE.

Configura profilo di crittografia IKE

Per configurare il profilo crittografico, passare a:

1. Rete > Profilo di rete > Crittografia IKE.

2. Fare clic su Aggiungi.

3. Configurare i parametri successivi:

• Nome: Configurare un nome per identificare il profilo.
• GRUPPO DH: gruppo19
• AUTENTICAZIONE: non autenticazione
• CRITTOGRAFIA: aes-256-gcm
• Timer:
  
  • Durata chiave: 8 ore
  • Autenticazione IKEv2: 0

4. Una volta configurati tutti gli elementi, fare clic su OK.

5. Se la configurazione è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo; Configurare i gateway IKE.

Configurazione gateway IKE

Per configurare i gateway IKE

1. Rete > Profilo di rete > Gateway IKE.

2. Fare clic su Aggiungi.

3. Configurare i parametri successivi:

• Nome: Configurare un nome per identificare i gateway Ike
• Version: Modalità solo IKEv2
• Tipo indirizzo: IPv4
• Interfaccia: Selezionare l'interfaccia WAN Internet
• Indirizzo IP locale: Selezionare l'IP dell'interfaccia WAN Internet
• Tipo di indirizzo IP peer: IP
• Indirizzo peer: Utilizzare l'indirizzo IP dell'indirizzo IP primario del centro dati IP, specificato nel passaggio Dati tunnel
• Autenticazione: Chiave già condivisa
• Chiave già condivisa: Usare la passphrase fornita nella fase Tunnel Data
• Conferma chiave già condivisa: Usare la passphrase fornita nella fase Tunnel Data
• Identificazione locale: Scegliere FQDN utente (indirizzo e-mail) e utilizzare l'ID tunnel primario fornito nel passaggio, Dati tunnel
• Identificazione peer: Scegliere IP Address (Indirizzo IP) e utilizzare l'indirizzo IP del centro dati IP primario

4. Fare clic su Opzioni avanzate.

• Abilita attraversamento NAT
• Selezionare il profilo di crittografia IKE creato nel passaggio Configura profilo di crittografia IKE
• Selezionare la casella di controllo per il controllo Liveness

5. Fare clic su OK.

6. Se è stato configurato in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo, Configurare il profilo di crittografia IPSEC.

Configura profilo di crittografia IPSEC

1. Per configurare i gateway IKE, selezionare Rete > Profilo di rete > Crittografia IPSEC.

2. Fare clic su Aggiungi.

3. Configurare i parametri successivi:

• Nome: Utilizzare un nome per identificare il profilo IPsec di Secure Access
• Protocollo IPSec: ESP
• CRITTOGRAFIA: aes-256-gcm
• Gruppo DH: no-pfs, 1 ora

4. Fare clic su OK.

5. Se la configurazione è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo; Configurare i tunnel IPSec.

Configurare i tunnel IPSec

1. Per configurare i tunnel IPSec, selezionare Rete > Tunnel IPSec.

2. Fare clic su Aggiungi.

3. Configurare i parametri successivi:

• Nome: Utilizzare un nome per identificare il tunnel Secure Access
• Interfaccia tunnel: Selezionare l'interfaccia del tunnel configurata nella fase Configure the tunnel interface
• Tipo: Tasto automatico
• Tipo indirizzo: IPv4
• Gateway IKE: Scegliere i gateway IKE configurati nel passaggio Configurazione gateway IKE
• Profilo crittografia IPsec: Scegliere i gateway IKE configurati nel passaggio Configurazione profilo di crittografia IPSEC
• Selezionare la casella di controllo Opzioni avanzate
  • Tunnel modalità IPSec: Scegli tunnel

4. Fare clic su OK.

Ora che la tua VPN è stata creata correttamente, puoi procedere con il passaggio; Configurare l'inoltro basato su criteri.

Configura inoltro basato su criteri

1. Per configurare l'inoltro basato su criteri, passare a Criteri > Inoltro basato su criteri.

2. Fare clic su Aggiungi.

3. Configurare i parametri successivi:

• Informazioni generali
  • Nome: Utilizzare un nome per identificare l'accesso sicuro e l'inoltro di base dei criteri (routing per origine)
• Origine
  • Zona/e: Selezionare le zone in cui si intende instradare il traffico in base all'origine
  • Source address: Configurare l'host o le reti da utilizzare come origine
  • Utenti di origine: Configurare gli utenti a cui instradare il traffico (se applicabile)
• Destinazione/Applicazione/Servizio
  • Indirizzo di destinazione: È possibile lasciare il valore Any (Qualsiasi) oppure specificare gli intervalli di indirizzi di Secure Access (100.64.0.0/10)
• Inoltro
  • Azione: Avanti
  • Interfaccia in uscita: Scegliere l'interfaccia del tunnel configurata nella fase Configure the tunnel interface.
  • Hop successivo: Nessuna

4. Fare clic su OK e su Conferma.

Ora tutto è configurato a Palo Alto. Dopo aver configurato il percorso, è possibile stabilire il tunnel. Continuare a configurare RA-VPN, ZTA basata su browser o ZTA basata su client su Secure Access Dashboard.

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	09-Jul-2026	Controllo ortografico, grammaticale e spaziatura aggiornati, aggiunta di righe a sezioni separate per una maggiore leggibilità e aggiornamento dei collegamenti per l'apertura in una nuova pagina.
1.0	31-Jan-2024	Versione iniziale