Veilige toegang configureren met Palo Alto Firewall

Inleiding

In dit document wordt beschreven hoe u Secure Access kunt configureren met Palo Alto Firewall.

Voorwaarden

• Gebruikersprovisioning configureren
• ZTNA SSO-verificatieconfiguratie
• Veilige toegang tot VPN op afstand configureren

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• beveiligde toegang
• Clientloze ZTNA
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x versie Firewall

Gebruikte componenten

De informatie in dit document is gebaseerd op:

• beveiligde toegang
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x versie Firewall

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Veilige toegang - Palo Alto

Cisco heeft Secure Access ontworpen om private applicaties te beschermen en toegang te bieden, zowel on-premise als cloudgebaseerd. Het beschermt ook de verbinding van het netwerk met het internet. Dit wordt bereikt door de implementatie van meerdere beveiligingsmethoden en -lagen, allemaal gericht op het behoud van de informatie terwijl ze deze via de cloud benaderen.

Configureren

De VPN configureren voor beveiligde toegang

1. Navigeer naar het beheerderspaneel van Secure Access.

Veilige toegang - Hoofdpagina

2. Klik op Verbinden > Netwerkverbindingen.

Veilige toegang - Netwerkverbindingen

3. Onder Netwerktunnelgroepen klikt u op +Toevoegen.

Beveiligde toegang - Netwerktunnelgroepen

4. Configureer de naam van de tunnelgroep, het gebied en het apparaattype.

5. Klik op Volgende.

6. Configureer het Tunnel ID-formaat en het wachtwoord.

7. Klik op Volgende.

8. Configureer het IP-adresbereik of de hosts die u in uw netwerk hebt geconfigureerd en u wilt het verkeer via Secure Access doorgeven.

9. Klik op Opslaan.

Veilige toegang - Tunnelgroepen - Routeringsopties

10. Nadat u op Opslaan hebt geklikt, wordt de informatie over de tunnel weergegeven. Bewaar deze informatie voor de volgende stap. Configureer de tunnel op Palo Alto.

tunnelgegevens

De tunnel op Palo Alto

De tunnelinterface configureren

Navigeer naar het Palo Alto Dashboard.

1. Netwerk > Interfaces > Tunnel.

2. Klik op Toevoegen.

3. Configureer onder het menu Config de virtuele router, de beveiligingszone en wijs een achtervoegselnummer toe.

4. Configureer onder IPv4 een niet-routeerbaar IP-adres. U kunt bijvoorbeeld 169.254.0.1/30 gebruiken.

5. Klik op OK.

6. Daarna kunt u iets als dit laten configureren:

7. Als u het zo hebt geconfigureerd, klikt u op Commit om uw configuratie op te slaan en gaat u verder met de volgende stap; Configure IKE Crypto Profile.

IKE Crypto-profiel configureren

Om het crypto-profiel te configureren, navigeert u naar:

1. Netwerk > Netwerkprofiel > IKE Crypto.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Naam: Configureer een naam om het profiel te identificeren.
• DH GROEP: groep19
• AUTHENTICATIE: niet-authentiek
• CODERING: AES-256-GCM
• Timers:
  
  • Levensduur sleutel: 8 uur
  • IKEv2-verificatie: 0

4. Nadat alles is geconfigureerd, klikt u op OK.

5. Als u het op deze manier hebt geconfigureerd, klikt u op Commit om uw configuratie op te slaan en gaat u verder met de volgende stap; Configure IKE Gateways.

IKE-gateways configureren

IKE Gateways configureren

1. Netwerk > Netwerkprofiel > IKE-gateways.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Naam: Configureer een naam om de Ike Gateways te identificeren
• Versie: alleen IKEv2-modus
• Adrestype: IPv4
• Interface: selecteer uw internet WAN-interface
• Lokaal IP-adres: Selecteer het IP van uw internet WAN-interface
• Peer IP-adrestype: IP
• Peer-adres: gebruik het IP-adres van het IP-adres van het primaire IP-datacenter, dat wordt opgegeven in de stap Tunnelgegevens
• Verificatie: vooraf gedeelde sleutel
• Vooraf gedeelde sleutel: gebruik de wachtwoordzin in de stap Tunnelgegevens
• Bevestig vooraf gedeelde sleutel: gebruik de wachtwoordzin in de stap Tunnelgegevens
• Lokale identificatie: kies Gebruiker-FQDN (e-mailadres) en gebruik de primaire tunnel-ID in de stap, Tunnelgegevens
• Peer Identification: Kies een IP-adres en gebruik het IP-adres van het primaire IP-datacenter

4. Klik op Geavanceerde opties.

• NAT Traversal inschakelen
• Selecteer het IKE Crypto-profiel dat in deze stap is gemaakt en Configureer IKE Crypto-profiel
• Schakel het selectievakje voor Levensduurcontrole in

5. Klik op OK.

6. Als u het op deze manier hebt geconfigureerd, klikt u op Vastleggen om uw configuratie op te slaan en verder te gaan met de volgende stap, IPSEC Crypto Profile configureren.

IPSEC-cryptoprofiel configureren

1. Als u IKE-gateways wilt configureren, gaat u naar Netwerk > Netwerkprofiel > IPSEC Crypto.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Naam: Gebruik een naam om het IPsec-profiel voor beveiligde toegang te identificeren
• IPSec-protocol: ESP
• CODERING: AES-256-GCM
• DH-groep: geen pfs, 1 uur

4. Klik op OK.

5. Als u het op deze manier hebt geconfigureerd, klikt u op Opdracht om uw configuratie op te slaan en gaat u verder met de volgende stap; IPSec-tunnels configureren.

IPSec-tunnels configureren

1. Om IPSec-tunnels te configureren, bladert u naar Netwerk > IPSec-tunnels.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Naam: Gebruik een naam om de beveiligde toegangstunnel te identificeren
• Tunnelinterface: kies de tunnelinterface die tijdens de stap is geconfigureerd en configureer de tunnelinterface
• Type: Automatische sleutel
• Adrestype: IPv4
• IKE Gateways: Kies de IKE Gateways die tijdens de stap zijn geconfigureerd, IKE Gateways configureren
• IPsec Crypto Profile: Kies de IKE Gateways die tijdens de stap zijn geconfigureerd, IPSEC Crypto Profile configureren
• Schakel het selectievakje voor Geavanceerde opties in
  • IPSec-modetunnel: tunnelkeuze

4. Klik op OK.

Nu uw VPN met succes is gemaakt, kunt u doorgaan met de stap; Beleidsgebaseerd doorsturen configureren.

Op beleid gebaseerde doorzending configureren

1. Om Policy Based Forwarding te configureren, bladert u naar Policies > Policy Based Forwarding.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Algemeen
  • Naam: Gebruik een naam om de beveiligde toegang en de beleidsbasis voor doorsturen te identificeren (routering op basis van herkomst)
• bron
  • Zone(s): Selecteer de zone(s) waar u van plan bent verkeer te routeren op basis van de herkomst
  • Bronadres: de host of netwerken configureren die u als bron wilt gebruiken
  • Brongebruikers: Configureer de gebruikers waarnaar u het verkeer wilt leiden (indien van toepassing)
• Bestemming/toepassing/dienst
  • Bestemmingsadres: U kunt vertrekken als Any of het bereik van adressen van Secure Access opgeven (100.64.0.0/10)
• Doorsturen
  • Actie: Doorsturen
  • Egress-interface: kies de tunnelinterface die tijdens de stap is geconfigureerd en configureer de tunnelinterface.
  • Volgende Hop: Geen

4. Klik op OK en Commit.

Nu is alles geconfigureerd op Palo Alto. Nadat u de route hebt geconfigureerd, kan de tunnel worden ingesteld. Ga door met het configureren van de RA-VPN, Browser-Based ZTA of Client Base ZTA op Secure Access Dashboard.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	09-Jul-2026	Bijgewerkte spelling, grammatica, spatiëring, regels toegevoegd aan afzonderlijke secties voor leesbaarheid en bijgewerkte koppelingen voor openen in nieuwe pagina.
1.0	31-Jan-2024	Eerste vrijgave