Beveiligde toegang configureren met Palo Alto Firewall

Inleiding

In dit document wordt beschreven hoe u Secure Access configureert met Palo Alto Firewall.

---

Voorwaarden

• Provisioning van gebruiker configureren
• ZTNA SSO-verificatieconfiguratie
• Remote Access VPN Secure Access configureren

---

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• beveiligde toegang
• Clientless ZTNA
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x Version Firewall

---

Gebruikte componenten

De informatie in dit document is gebaseerd op: 

• beveiligde toegang
• Cisco Secure Client - VPN
• Cisco Secure Client - ZTNA
• Palo Alto 11.x Version Firewall

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Achtergrondinformatie

Veilige toegang - Palo Alto

Cisco heeft Secure Access ontworpen om privétoepassingen te beschermen en toegang te bieden, zowel on-premise als in de cloud. Het beschermt ook de verbinding van het netwerk naar het internet. Dit wordt bereikt door de implementatie van meerdere beveiligingsmethoden en -lagen, allemaal gericht op het behoud van de informatie terwijl ze er toegang toe hebben via de cloud.

---

Configureren

VPN configureren voor beveiligde toegang

1. Navigeer naar het beheerderspaneel van Secure Access.

Veilige toegang - Hoofdpagina

---

2. Klik op Verbinden > Netwerkverbindingen.

---

Veilige toegang - netwerkverbindingen

---

3. Klik onder Netwerktunnelgroepen op +Toevoegen.

Veilige toegang - Netwerktunnelgroepen

---

4. Configureer de naam van de tunnelgroep, de regio en het apparaattype.

5. Klik op Volgende.

---

---

---

6. Configureer het Tunnel ID Format en de wachtwoordgroep.

7. Klik op Volgende.

---

8. Configureer de IP-adresbereiken of hosts die u op uw netwerk hebt geconfigureerd en die het verkeer via Secure Access willen doorgeven.

9. Klik op Opslaan.

Veilige toegang - tunnelgroepen - routeringsopties

---

10. Nadat u op Savede tunnel hebt geklikt, wordt de informatie over de tunnel weergegeven. Bewaar deze informatie voor de volgende stap. Configureer de tunnel op Palo Alto.

---

tunnelgegevens

---

De tunnel op Palo Alto

De tunnelinterface configureren

Ga naar het Palo Alto Dashboard.

1. Netwerk > Interfaces > Tunnel.

2. Klik op Toevoegen.

---

3. Configureer onder het menu Config de virtuele router, beveiligingszone en wijs een Suffix Numberserver toe. 

---

4. Configureer onder IPv4een niet-routeerbaar IP. U kunt bijvoorbeeld 169.254.0.1/30 gebruiken.

5. Klik op OK.

---

6. Daarna kunt u iets als dit laten configureren:

---

7. Als u het op deze manier hebt geconfigureerd, klikt u op Vastleggen om uw configuratie op te slaan en verder te gaan met de volgende stap; IKE Crypto Profile configureren.

---

IKE Crypto-profiel configureren

Als u het cryptoprofiel wilt configureren, gaat u naar: 

1. Network > Network Profile > IKE Crypto.

2. Klik op Add (Toevoegen).

---

3. Configureer de volgende parameters:

• Naam: Configureer een naam om het profiel te identificeren.
• DH-GROEP: groep 19
• AUTHENTICATIE: niet-authentiek
• VERSLEUTELING: aes-256-gcm
• Timers: 
  
  • Sleutellevensduur: 8 uur
  • IKEv2-verificatie: 0

4. Klik op OK nadat alles is geconfigureerd.

---

5. Als u het op deze manier hebt geconfigureerd, klikt u op Vastleggen om uw configuratie op te slaan en verder te gaan met de volgende stap; IKE Gateways configureren.

---

IKE-gateways configureren

IKE-gateways configureren

1. Netwerk > Netwerkprofiel > IKE-gateways.

2. Klik op Toevoegen.

3. Configureer de volgende parameters:

• Naam: Configureer een naam om de Ike Gateways te identificeren
• Versie: alleen IKEv2-modus
• Adrestype: IPv4
• Interface: uw internet WAN-interface selecteren
• Lokaal IP-adres: Selecteer het IP-adres van uw internet WAN-interface
• IP-adrestype peer: IP
• Peer-adres: gebruik het IP-adres van het primaire IP-datacenter, gegeven in de stap Tunnel Data
• verificatie: vooraf gedeelde sleutel
• Vooraf gedeelde sleutel: gebruik de wachtwoordzin in de stap Tunnel Data
• Vooraf gedeelde sleutel bevestigen: gebruik de wachtwoordzin in de stap Tunnel Data
• Lokale identificatie: Kies FQDN (e-mailadres) en gebruik de primaire tunnel-ID die in de stap is opgegeven, Tunnel Data
• Peer-identificatie: kies het IP-adres en gebruik het IP-adres van het primaire IP-datacenter

---

---

4. Klik op Geavanceerde opties.

• NAT-traversal inschakelen
• Selecteer het IKE Crypto-profiel dat in stap is gemaakt en configureer het IKE Crypto-profiel
• Vink het selectievakje voor Levensduurcontrole aan

5. Klik op OK.

---

---

6. Als u het op deze manier hebt geconfigureerd, klikt u op Vastleggen om uw configuratie op te slaan en verder te gaan met de volgende stap; IPSEC Crypto configureren.

---

IPSEC Crypto-profiel configureren

1. Als u IKE-gateways wilt configureren, gaat u naar Netwerk > Netwerkprofiel > IPSEC Crypto.

2. Klik op Toevoegen.

---

---

3. Configureer de volgende parameters: 

• Naam: Gebruik een naam om het IPsec-profiel voor beveiligde toegang te identificeren
• IPSec-protocol: ESP
• VERSLEUTELING: aes-256-gcm
• DH-groep: geen pfs, 1 uur

4. Klik op OK.

---

---

5. Als u het op deze manier hebt geconfigureerd, klikt u op Vastleggen om uw configuratie op te slaan en verder te gaan met de volgende stap; IPSec-tunnels configureren.

---

IPSec-tunnels configureren

1. Als u IPSec-tunnels wilt configureren, gaat u naar Netwerk > IPSec-tunnels.

2. Klik op Toevoegen.

---

---

3. Configureer de volgende parameters:

• Naam: Gebruik een naam om de beveiligde toegangstunnel te identificeren
• Tunnel Interface: Kies de tunnelinterface die bij de stap is geconfigureerd en configureer de tunnelinterface
• Type: autosleutel
• Adrestype: IPv4
• IKE-gateways: kies de IKE-gateways die in de stap zijn geconfigureerd en configureer IKE-gateways
• IPsec Crypto Profile: Kies de IKE-gateways die in de stap zijn geconfigureerd en configureer het IPSEC Crypto Profile
• Vink het selectievakje voor Geavanceerde opties aan
  • IPSec-tunnelmodus: Tunnel kiezen

4. Klik op OK

---

---

---

Nu uw VPN succesvol is gemaakt, kunt u doorgaan met de stap; Beleidsgebaseerde doorsturen configureren.

---

Op beleid gebaseerde doorverwijzing configureren

1. Om te configureren Policy Based Forwardingnavigeert u naar Policies > Policy Based Forwarding.

2. Klik op Add (Toevoegen).

---

3. Configureer de volgende parameters:

• Algemeen 
  • Naam: Gebruik een naam om de Secure Access en Policy Base Forwarding (Routering op Oorsprong) te identificeren
• bron 
  • Zone(s): Selecteer de zone(s) waar u verkeer wilt routeren op basis van de oorsprong
  • Bronadres: de host of netwerken configureren die u als bron wilt gebruiken
  • Brongebruikers: de gebruikers configureren waarnaar u verkeer wilt routeren (indien van toepassing)
• Bestemming/toepassing/service 
  • Bestemmingsadres: U kunt het adres achterlaten als Willekeurig of de adresbereiken van Veilige toegang opgeven (100.64.0.0/10)
• Doorsturen 
  • Actie: Doorsturen
  • Uitgangs-interface: kies de tunnelinterface die is geconfigureerd voor de stap, configureer de tunnelinterface.
  • Volgende Hop: Geen

4. Klik op OK en zet vast.

---

---

---

---

---

Nu heb je alles geconfigureerd op Palo Alto, nadat je de route hebt geconfigureerd, kan de tunnel worden vastgesteld. U moet doorgaan met het configureren van de RA-VPN, browsergebaseerde ZTA of Client Base ZTA op het Secure Access Dashboard.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	09-Jul-2026	Bijgewerkte spelling, grammatica, spatiëring, toegevoegde lijnen naar afzonderlijke secties voor leesbaarheid en bijgewerkte links voor openen in nieuwe pagina.
1.0	31-Jan-2024	Eerste vrijgave