Configure o acesso seguro com o firewall Palo Alto

Opções de download

  • PDF     (2.9 MB)
    Ver no Adobe Reader em vários dispositivos
Atualizado:9 de julho de 2026
ID do documento:221589

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introdução

Este documento descreve como configurar o acesso seguro com o firewall Palo Alto.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

  • Acesso seguro
  • ZTNA sem cliente
  • Cisco Secure Client - VPN
  • Cisco Secure Client - ZTNA
  • Firewall da versão Palo Alto 11.x

Componentes Utilizados

As informações neste documento são baseadas em: 

  • Acesso seguro
  • Cisco Secure Client - VPN
  • Cisco Secure Client - ZTNA
  • Firewall da versão Palo Alto 11.x

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Secure Access - Palo AltoAcesso seguro - Palo Alto

A Cisco projetou o Secure Access para proteger e fornecer acesso a aplicativos privados, no local e baseados em nuvem. Ele também protege a conexão da rede à Internet. Isso é obtido por meio da implementação de vários métodos e camadas de segurança, todos voltados para preservar as informações à medida que elas são acessadas pela nuvem.

Configurar

Configurar a VPN no acesso seguro

1. Navegue até o painel de administração do Secure Access.

Secure Access - Main PageAcesso seguro - Página principal

2. Clique em Conectar > Conexões de Rede.

Secure Access - Network ConnectionsAcesso seguro - Conexões de rede

3. Em Network Tunnel Groups, clique em +Add.

Secure Access - Network Tunnel GroupsAcesso seguro - Grupos de túnel de rede

4. Configure o Nome do Grupo de Túneis, a Região e o Tipo de Dispositivo.

5. Clique em Próximo.

Network Tunnel Group - General Settings

note-icon

Note: Escolha a região mais próxima ao local do firewall.

6. Configure o Formato de ID de Túnel e a Senha.

7. Clique em Próximo.

Network Tunnel Group - Tunnel ID Format

8. Configure os intervalos de endereços IP ou hosts configurados na rede e deseje passar o tráfego pelo Secure Access.

9. Clique em Salvar.

Secure Access - Tunnel Groups - Routing OptionsAcesso seguro - Grupos de túneis - Opções de roteamento

10. Depois de clicar Save, as informações no túnel são exibidas. Salve essas informações para a próxima etapa; Configure o túnel em Palo Alto.

Dados do túnel

Secure Access - Data for Tunnel Setup

Configurar o túnel em Palo Alto

Configurar a interface do túnel

Navegue até o Painel Palo Alto.

1. Rede > Interfaces > Túnel.

2. Clique em Adicionar.

Palo Alto - Interface

3. No menu Config, configure o Roteador virtual, a Zona de segurança e atribua um Suffix Number. 

Palo Alto - Tunnel Interface

4. Em IPv4, configure um IP não roteável. Por exemplo, você pode usar 169.254.0.1/30.

5. Clique em OK.

Palo Alto - Tunnel Interface - IPV4

6. Depois disso, você poderá ter algo assim configurado:

Palo Alto - Tunnel Configured

7. Se você o tiver configurado desta forma, clique em Commit para salvar sua configuração e continuar com a próxima etapa; Configure IKE Crypto Profile.

Configurar perfil de criptografia IKE

Para configurar o perfil de criptografia, navegue até: 

1. Network > Network Profile > IKE Crypto.

2. Clique em Add.

Palo Alto - IKE Crypto

3. Configure os próximos parâmetros:

  • Nome: Configure um nome para identificar o perfil.
  • GRUPO DH: grupo19
  • Autenticação: non-auth
  • CRIPTOGRAFIA: aes-256-gcm
  • Cronômetros: 
    • Tempo de vida da chave: 8 horas
    • Autenticação IKEv2: 0

4. Depois que tudo estiver configurado, clique em OK.

Palo Alto - IKE Crypto Profile

5. Se você o tiver configurado dessa forma, clique em Confirmar para salvar sua configuração e continuar com a próxima etapa: Configurar gateways IKE.

Configurar gateways IKE

Para configurar gateways IKE

1. Rede > Perfil de Rede > Gateways IKE.

2. Clique em Adicionar.

Palo Alto - IKE Gateways

3. Configure os próximos parâmetros:

  • Nome: Configure um nome para identificar os Gateways Ike
  • Versão: modo somente IKEv2
  • Tipo de endereço: IPv4
  • Interface: Selecione sua interface de Internet WAN
  • Endereço IP local: Selecione o IP da interface WAN da Internet
  • Tipo de Endereço IP de Mesmo Nível: IP
  • Endereço de mesmo nível: Use o IP do endereço IP do datacenter primário, fornecido na etapa Dados do túnel
  • Autenticação: Chave pré-compartilhada
  • Chave pré-compartilhada: Use a senha fornecida na etapa Dados do túnel
  • Confirmar chave pré-compartilhada: Use a senha fornecida na etapa Dados do túnel
  • Identificação local: Escolha User FQDN (Email address) e use o Primary Tunnel ID fornecido na etapa, Tunnel Data
  • Identificação de peer: Escolha IP Address e use o Primary IP Datacenter IP Address

Palo Alto - IKE Gateways - General

4. Clique em Opções Avançadas.

5. Clique em OK.

Palo Alto - IKE Gateways - Advanced Options

6. Se você o tiver configurado desta forma, clique em Confirmar para salvar sua configuração e continuar com a próxima etapa: Configurar criptografia IPSEC.

Configurar perfil de criptografia IPSEC

1. Para configurar Gateways IKE, Navegue até Rede > Perfil de Rede > IPSEC Crypto.

2. Clique em Add.

Palo Alto - IPsec Crypto

3. Configure os próximos parâmetros: 

  • Nome: Usar um nome para identificar o Perfil IPsec de Acesso Seguro
  • Protocolo IPSec: ESP
  • CRIPTOGRAFIA: aes-256-gcm
  • Grupo DH: no-pfs, 1 hora

4. Clique em OK.

Palo Alto - IPsec Crypto Profile

5. Se você o configurou assim, clique em Confirmar para salvar sua configuração e continuar com a próxima etapa: Configurar túneis IPSec.

Configurar túneis IPSec

1. Para configurar Túneis IPSec, navegue para Rede > Túneis IPSec.

2. Clique em Adicionar.

Palo Alto - IPsec Tunnels

3. Configure os próximos parâmetros:

  • Nome: Use um nome para identificar o túnel de acesso seguro
  • Interface do túnel: Escolha a interface de túnel configurada na etapa, Configure a interface de túnel
  • Digite: Chave automática
  • Tipo de endereço: IPv4
  • Gateways IKE: Escolha os Gateways IKE configurados na etapa, Configurar Gateways IKE
  • Perfil de Criptografia IPsec:  Escolha os Gateways IKE configurados na etapa, Configurar perfil de criptografia IPSEC
  • Marque a caixa de seleção de Opções avançadas
    • Túnel de modo IPSec: Escolher túnel

4. Clique em OK

Palo Alto - IPsec Tunnels - Configuration

caution-icon

Caution: Não há suporte para IDs de proxy. Evite configurações com ID de proxy em túneis IPSEC Palo Alto com acesso seguro.

Agora que sua VPN foi criada com êxito, você pode prosseguir com a etapa; Configure Policy Based Forwarding.

Configurar Encaminhamento Baseado em Política

1. Para configurar Policy Based Forwarding, navegue até Policies > Policy Based Forwarding.

2. Clique em Add.

Palo Alto - Policy Based Forwarding

3. Configure os próximos parâmetros:

  • General 
    • Nome: Use um nome para identificar o Secure Access e o Policy Base Forwarding (Roteamento por Origem)
  • Fonte 
    • Zona(s): Selecione a(s) zona(s) onde você planeja rotear o tráfego com base na origem
    • Endereço de origem: Configurar o host ou as redes que você deseja usar como origem
    • Usuários de Origem: Configure os usuários para os quais você deseja rotear o tráfego (se aplicável)
  • Destino/Aplicativo/Serviço 
    • endereço de destino: Você pode deixar como Qualquer ou especificar os intervalos de endereços de Acesso seguro (100.64.0.0/10)
  • Transmissão 

4. Clique em OK e em Confirmar.

Palo Alto - Policy Based Forwarding - General

Palo Alto - Policy Based Forwarding - Source

Palo Alto - Policy Based Forwarding - Destination

Palo Alto - Policy Based Forwarding - Routing

Agora você tem tudo configurado em Palo Alto, depois de configurar a rota, o túnel pode ser estabelecido. Você deve continuar configurando o RA-VPN, o ZTA baseado em navegador ou o ZTA base do cliente no painel de controle de acesso seguro.

Histórico de revisões

Revisão Data de publicação Comentários
2.0
09-Jul-2026
Ortografia, gramática, espaçamento atualizados, linhas adicionadas a seções separadas para facilitar a leitura e links atualizados para abrir em uma nova página.
1.0
31-Jan-2024
Versão inicial
TAC Authored

Colaborado por engenheiros da Cisco

  • Jairo Moreno
    Especialista em sucesso do cliente

Este documento lhe foi útil?

FeedbackFeedback

Contate a Cisco

Este documento se refere a estes produtos