Palo Altoファイアウォールによるセキュアなアクセスの設定

ダウンロード オプション

  • PDF     (3.0 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (2.8 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (1.9 MB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 7 月 9 日
Document ID:221589

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、Palo Altoファイアウォールを使用してセキュアアクセスを設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • セキュアなアクセス
  • クライアントレスZTNA
  • Cisco Secure Client:VPN（トンネルモード）
  • Cisco Secureクライアント – ZTNA
  • Palo Alto 11.xバージョンのファイアウォール

使用するコンポーネント

このドキュメントの情報は、次のハードウェアに基づくものです。 

  • セキュアなアクセス
  • Cisco Secure Client:VPN（トンネルモード）
  • Cisco Secureクライアント – ZTNA
  • Palo Alto 11.xバージョンのファイアウォール

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

Secure Access - Palo Altoセキュアなアクセス – Palo Alto

シスコは、プライベートアプリケーション（オンプレミスとクラウドベースの両方）を保護し、アクセスを提供するセキュアなアクセスを設計しました。また、ネットワークからインターネットへの接続も保護します。これは、複数のセキュリティ方式とレイヤの実装によって実現されます。すべての目的は、クラウド経由でアクセスする情報を保持することです。

設定

セキュアアクセスでのVPNの設定

1. Secure Accessの管理パネルに移動します。

Secure Access - Main Pageセキュアアクセス – メインページ

2. Connect > Network Connectionsの順にクリックします。

Secure Access - Network Connectionsセキュアなアクセス：ネットワーク接続

3. Network Tunnel Groupsの下で、+Addをクリックします。

Secure Access - Network Tunnel Groupsセキュアアクセス – ネットワークトンネルグループ

4. トンネルグループ名、リージョン、およびデバイスタイプを設定します。

5. Nextをクリックします。

Network Tunnel Group - General Settings

note-icon

注：ファイアウォールの場所に最も近い地域を選択してください。

6.トンネルIDの形式とパスフレーズを設定します。

7. Nextをクリックします。

Network Tunnel Group - Tunnel ID Format

8. ネットワーク上で構成したIPアドレス範囲またはホストを構成し、トラフィックをセキュアアクセス経由で渡します。

9. Saveをクリックします。

Secure Access - Tunnel Groups - Routing Optionsセキュアアクセス – トンネルグループ – ルーティングオプション

10. Saveをクリックすると、トンネルの情報が表示されます。この情報を次のステップ「Palo Altoでのトンネルの設定」に使用するために保存してください。

トンネルデータ

Secure Access - Data for Tunnel Setup

Palo Altoでのトンネルの設定

トンネルインターフェイスの設定

Palo Altoダッシュボードに移動します。

1. Network > Interfaces > Tunnel。

2. 「追加」をクリックします。

Palo Alto - Interface

3. Configメニューの下で、仮想ルータ、セキュリティゾーンを設定し、サフィックス番号を割り当てます。 

Palo Alto - Tunnel Interface

4. IPv4で、ルーティング不能IPを設定します。たとえば、169.254.0.1/30を使用できます。

5. 「OK」をクリックします。

Palo Alto - Tunnel Interface - IPV4

6. その後、次のように設定できます。

Palo Alto - Tunnel Configured

7. このように設定してある場合は、Commitをクリックして設定を保存し、次のステップであるConfigure IKE Crypto Profileに進みます。

IKE暗号化プロファイルの設定

暗号化プロファイルを設定するには、次の場所に移動します。 

1. Network > Network Profile > IKE Crypto

2. Addをクリックします。

Palo Alto - IKE Crypto

3. 次のパラメータを構成します。

  • Name：プロファイルを識別する名前を設定します。
  • DHグループ:group19
  • 認証：非認証
  • 暗号化:aes-256-gcm
  • Timers: 
    • キーのライフタイム:8時間
    • IKEv2認証:0

4. すべての設定が完了したら、OKをクリックします。

Palo Alto - IKE Crypto Profile

5. このような設定が行われている場合は、Commitをクリックして設定を保存し、次のステップであるIKEゲートウェイの設定を続行します。

IKEゲートウェイの設定

IKEゲートウェイを設定するには

1. Network > Network Profile > IKE Gateways。

2. Addをクリックします。

Palo Alto - IKE Gateways

3. 次のパラメータを構成します。

  • Name:Ikeゲートウェイを識別する名前を設定します
  • バージョン:IKEv2専用モード
  • アドレスタイプ:IPv4
  • Interface：インターネットWANインターフェイスを選択します
  • Local IP Address：インターネットWANインターフェイスのIPを選択します。
  • ピアIPアドレスタイプ:IP
  • Peer Address:Primary IP Datacenter IP AddressのIPを使用します。これは、Tunnel Data
  • 認証：事前共有キー
  • 事前共有キー:トンネルデータの手順で指定されたパスフレーズを使用します。
  • Confirm Pre-shared Key:トンネルデータの手順で指定されたパスフレーズを使用します。
  • Local Identification:User FQDN (Email address)を選択し、ステップTunnel Dataで指定したPrimary Tunnel IDを使用します
  • ピアの識別:IPアドレスを選択し、プライマリIPデータセンターIPアドレスを使用します。

Palo Alto - IKE Gateways - General

4. Advanced Optionsをクリックします。

  • NATトラバーサルの有効化
  • ステップConfigure IKE Crypto Profileで作成したIKE Crypto Profileを選択します。
  • 活性チェックのチェックボックスをオンにします。

5. OKをクリックします。

Palo Alto - IKE Gateways - Advanced Options

6. このような設定になっている場合は、Commitをクリックして設定を保存し、次のステップであるConfigure IPSEC Cryptoに進みます。

IPSEC暗号化プロファイルの設定

1. IKEゲートウェイを設定するには、Network > Network Profile > IPSEC Cryptoの順に選択します。

2. Addをクリックします。

Palo Alto - IPsec Crypto

3. 次のパラメータを構成します。 

  • Name：名前を使用して、セキュアアクセスIPSecプロファイルを識別します
  • IPSecプロトコル:ESP
  • 暗号化:aes-256-gcm
  • DHグループ:no-pfs、1時間

4. OKをクリックします。

Palo Alto - IPsec Crypto Profile

5. このような設定が行われている場合は、Commitをクリックして設定を保存し、次のステップであるIPSecトンネルの設定を続行します。

IPSecトンネルの設定

1. IPSecトンネルを設定するには、Network > IPSec Tunnelsに移動します。

2. Addをクリックします。

Palo Alto - IPsec Tunnels

3. 次のパラメータを構成します。

  • Name：セキュアアクセストンネルを識別する名前を使用します
  • Tunnel Interface：ステップで設定したトンネルインターフェイスを選択します。Configure the tunnel interface
  • タイプ：オートキー
  • アドレスタイプ:IPv4
  • IKE Gateways：ステップ「Configure IKE Gateways」で設定したIKEゲートウェイを選択します。
  • IPsec Crypto Profile：ステップ「Configure IPSEC Crypto Profile」で設定したIKEゲートウェイを選択します。
  • 詳細オプションのチェックボックスをオンにする
    • IPSecモードトンネル：トンネルの選択

4. 「OK」をクリックします。

Palo Alto - IPsec Tunnels - Configuration

caution-icon

注意：プロキシIDはサポートされていません。セキュアアクセスを使用したPalo Alto IPSECトンネルでプロキシIDを使用した設定は避けてください。

VPNが正常に作成されたら、ポリシーベース転送の設定の手順に進みます。

ポリシーベースの転送の設定

1.ポリシーベースの転送を設定するには、Policies > Policy Based Forwardingの順に選択します。

2. Addをクリックします。

Palo Alto - Policy Based Forwarding

3. 次のパラメータを構成します。

  • 一般 
    • 名前：名前を使用して、セキュアアクセスおよびポリシーベース転送（発信元によるルーティング）を識別します
  • 出典 
    • ゾーン：送信元に基づいてトラフィックをルーティングするゾーンを選択します。
    • 発信元アドレス：発信元として使用する1つまたは複数のホストを設定します
    • 送信元ユーザ：トラフィックのルーティング先となるユーザを設定します（該当する場合）。
  • 宛先/アプリケーション/サービス 
    • 宛先アドレス:Anyのままにするか、セキュアアクセス(100.64.0.0/10)のアドレス範囲を指定できます
  • Forwarding 
    • アクション：転送
    • 出力インターフェイス：ステップ「トンネルインターフェイスの設定」で設定したトンネルインターフェイスを選択します。.
    • ネクストホップ：なし

4. OKをクリックし、Commitをクリックします。

Palo Alto - Policy Based Forwarding - General

Palo Alto - Policy Based Forwarding - Source

Palo Alto - Policy Based Forwarding - Destination

Palo Alto - Policy Based Forwarding - Routing

これでPalo Altoですべて設定できました。ルートを設定した後、トンネルを確立できます。引き続き、RA-VPN、ブラウザベースのZTA、またはクライアントベースのZTAをセキュアアクセスダッシュボードで設定する必要があります。

更新履歴

改定 発行日 コメント
2.0
09-Jul-2026
スペル、文法、スペースが更新され、読みやすくするためにセクションに行が追加され、新しいページで開くためのリンクが更新されました。
1.0
31-Jan-2024
初版
TAC Authored

シスコ エンジニア提供

  • ジャイロモレノ
    カスタマーサクセススペシャリスト

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています