Configurazione di Secure Access con Palo Alto Firewall

Opzioni per il download

  • PDF     (2.9 MB)
    Visualizza con Adobe Reader su diversi dispositivi
Aggiornato:9 luglio 2026
ID documento:221589

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Introduzione

In questo documento viene descritto come configurare Secure Access con Palo Alto Firewall.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

  • Accesso sicuro
  • ZTNA senza client
  • Cisco Secure Client - VPN
  • Cisco Secure Client - ZTNA
  • Palo Alto versione 11.x Firewall

Componenti usati

Le informazioni fornite in questo documento si basano su: 

  • Accesso sicuro
  • Cisco Secure Client - VPN
  • Cisco Secure Client - ZTNA
  • Palo Alto versione 11.x Firewall

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Secure Access - Palo AltoSecure Access - Palo Alto

Cisco ha progettato Secure Access per proteggere e fornire accesso alle applicazioni private, sia in sede che basate su cloud. Inoltre, garantisce il collegamento dalla rete a Internet. Questo risultato è ottenuto attraverso l'implementazione di più metodi e livelli di sicurezza, il tutto finalizzato a preservare le informazioni mentre vi accedono tramite il cloud.

Configurazione

Configurare la VPN su accesso sicuro

1. Passare al pannello di amministrazione di Accesso sicuro.

Secure Access - Main PageSecure Access - Pagina principale

2. Fare clic su Connect (Connetti) > Network Connections (Connessioni di rete).

Secure Access - Network ConnectionsAccesso sicuro - Connessioni di rete

3. In Gruppi di tunnel di rete fare clic su +Aggiungi.

Secure Access - Network Tunnel GroupsAccesso sicuro - Gruppi di tunnel di rete

4. Configurare il nome del gruppo di tunnel, la regione e il tipo di dispositivo.

5. Fare clic su Avanti.

Network Tunnel Group - General Settings

note-icon

Nota: Scegliere l'area più vicina alla posizione del firewall.

6. Configurare il formato dell'ID tunnel e la passphrase.

7. Fare clic su Avanti.

Network Tunnel Group - Tunnel ID Format

8. Configurare gli intervalli di indirizzi IP o gli host configurati nella rete e passare il traffico attraverso l'accesso sicuro.

9. Fare clic su Salva.

Secure Access - Tunnel Groups - Routing OptionsAccesso sicuro - Gruppi di tunnel - Opzioni di routing

10. Dopo aver fatto clic Savesu, vengono visualizzate le informazioni sul tunnel. Salvarle per il passaggio successivo. Configurare il tunnel su Palo Alto.

Dati tunnel

Secure Access - Data for Tunnel Setup

Configurazione del tunnel di Palo Alto

Configurazione dell'interfaccia del tunnel

Passare al dashboard di Palo Alto.

1. Rete > Interfacce > Tunnel.

2. Fare clic su Aggiungi.

Palo Alto - Interface

3. Nel menu Config, configurare il router virtuale, l'area di sicurezza, quindi assegnare un router virtuale Suffix Number. 

Palo Alto - Tunnel Interface

4. In IPv4, configurare un indirizzo IP non instradabile. Ad esempio, è possibile utilizzare 169.254.0.1/30.

5. Fare clic su OK.

Palo Alto - Tunnel Interface - IPV4

6. Dopo di che, si può avere una cosa come questo configurato:

Palo Alto - Tunnel Configured

7. Se è stato configurato in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo, Configurare il profilo di crittografia IKE.

Configura profilo di crittografia IKE

Per configurare il profilo crittografico, passare a: 

1. Network > Network Profile > IKE Crypto.

2. Fare clic su Add.

Palo Alto - IKE Crypto

3. Configurare i parametri successivi:

  • Nome: Configurare un nome per identificare il profilo.
  • GRUPPO DH: gruppo19
  • AUTENTICAZIONE: non autenticazione
  • CRITTOGRAFIA: aes-256-gcm
  • Timer: 
    • Durata chiave: 8 ore
    • Autenticazione IKEv2: 0

4. Una volta configurati tutti gli elementi, fare clic su OK.

Palo Alto - IKE Crypto Profile

5. Se è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo, Configurazione gateway IKE.

Configurazione gateway IKE

Per configurare i gateway IKE

1. Rete > Profilo di rete > Gateway IKE.

2. Fare clic su Aggiungi.

Palo Alto - IKE Gateways

3. Configurare i parametri successivi:

  • Nome: configurare un nome per identificare i gateway Ike
  • Version: Modalità solo IKEv2
  • Tipo indirizzo: IPv4
  • Interfaccia: Selezionare l'interfaccia WAN Internet
  • Indirizzo IP locale: Selezionare l'IP dell'interfaccia WAN Internet
  • Tipo di indirizzo IP peer: IP
  • Indirizzo peer: Utilizzare l'indirizzo IP dell'indirizzo IP primario del centro dati IP, specificato nel passaggio Dati tunnel
  • Autenticazione: Chiave già condivisa
  • Chiave già condivisa: Usare la passphrase fornita nella fase Tunnel Data
  • Conferma chiave già condivisa: Usare la passphrase fornita nella fase Tunnel Data
  • Identificazione locale: Scegliere FQDN utente (indirizzo e-mail) e utilizzare l'ID tunnel primario fornito nel passaggio, Dati tunnel
  • Identificazione peer: Scegliere IP Address (Indirizzo IP) e utilizzare l'indirizzo IP del centro dati IP primario

Palo Alto - IKE Gateways - General

4. Fare clic su Opzioni avanzate.

  • Abilita attraversamento NAT
  • Selezionare il profilo di crittografia IKE creato nel passaggio Configura profilo di crittografia IKE
  • Selezionare la casella di controllo per il controllo Liveness

5. Fare clic su OK.

Palo Alto - IKE Gateways - Advanced Options

6. Se è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo, Configurare la crittografia IPSEC.

Configura profilo di crittografia IPSEC

1. Per configurare i gateway IKE, selezionare Rete > Profilo di rete > IPSEC Crypto.

2. Fare clic su Aggiungi.

Palo Alto - IPsec Crypto

3. Configurare i parametri successivi: 

  • Nome: Utilizzare un nome per identificare il profilo IPsec di Secure Access
  • Protocollo IPSec: ESP
  • CRITTOGRAFIA: aes-256-gcm
  • Gruppo DH: no-pfs, 1 ora

4. Fare clic su OK.

Palo Alto - IPsec Crypto Profile

5. Se la configurazione è stata configurata in questo modo, fare clic su Commit per salvare la configurazione e continuare con il passaggio successivo, Configura tunnel IPSec.

Configurare i tunnel IPSec

1. Per configurare i tunnel IPSec, selezionare Rete > Tunnel IPSec.

2. Fare clic su Aggiungi.

Palo Alto - IPsec Tunnels

3. Configurare i parametri successivi:

  • Nome: Utilizzare un nome per identificare il tunnel Secure Access
  • Interfaccia tunnel: Selezionare l'interfaccia del tunnel configurata nella fase Configure the tunnel interface
  • Tipo: Tasto automatico
  • Tipo indirizzo: IPv4
  • Gateway IKE: Scegliere i gateway IKE configurati nel passaggio Configurazione gateway IKE
  • Profilo crittografia IPsec:  Scegliere i gateway IKE configurati nel passaggio Configurazione profilo di crittografia IPSEC
  • Selezionare la casella di controllo Opzioni avanzate
    • Tunnel modalità IPSec: Scegli tunnel

4. Fare clic su OK

Palo Alto - IPsec Tunnels - Configuration

caution-icon

Attenzione: Gli ID proxy non sono supportati. Evitare di configurare un ID proxy nei tunnel IPSEC di Palo Alto con accesso sicuro.

Ora che la VPN è stata creata correttamente, è possibile procedere con il passaggio Configura inoltro basato su criteri.

Configura inoltro basato su criteri

1. Per configurare Policy Based Forwarding, passare a Policies > Policy Based Forwarding.

2. Fare clic su Add.

Palo Alto - Policy Based Forwarding

3. Configurare i parametri successivi:

  • Informazioni generali 
    • Nome: Utilizzare un nome per identificare l'accesso sicuro e l'inoltro di base dei criteri (routing per origine)
  • Origine 
    • Zona/e: Selezionare le zone in cui si intende instradare il traffico in base all'origine
    • Source address: Configurare l'host o le reti da utilizzare come origine
    • Utenti di origine: Configurare gli utenti a cui instradare il traffico (se applicabile)
  • Destinazione/Applicazione/Servizio 
    • Indirizzo di destinazione: È possibile lasciare il valore Any (Qualsiasi) oppure specificare gli intervalli di indirizzi di Secure Access (100.64.0.0/10)
  • Inoltro 
    • Azione: Avanti
    • Interfaccia in uscita: Scegliere l'interfaccia del tunnel configurata nella fase Configure the tunnel interface.
    • Hop successivo: Nessuna

4. Fare clic su OK e su Conferma.

Palo Alto - Policy Based Forwarding - General

Palo Alto - Policy Based Forwarding - Source

Palo Alto - Policy Based Forwarding - Destination

Palo Alto - Policy Based Forwarding - Routing

Ora si ha tutto configurato su Palo Alto, dopo aver configurato il percorso, il tunnel può essere stabilito. È necessario continuare a configurare RA-VPN, ZTA basata su browser o ZTA basata su client su Secure Access Dashboard.

Cronologia delle revisioni

Revisione Data di pubblicazione Commenti
2.0
09-Jul-2026
Controllo ortografico, grammaticale e spaziatura aggiornati, aggiunta di righe a sezioni separate per una maggiore leggibilità e aggiornamento dei collegamenti per l'apertura in una nuova pagina.
1.0
31-Jan-2024
Versione iniziale
TAC Authored

Contributo dei tecnici Cisco

  • Jairo Moreno
    Specialista del successo dei clienti

Questo documento ti è stato utile?

FeedbackFeedback

Contattaci

Questo documento si applica a questi prodotti