使用Palo Alto防火牆配置安全訪問

簡介

本文檔介紹如何使用Palo Alto防火牆配置Secure Access。

必要條件

• 配置使用者調配
• ZTNA SSO身份驗證配置
• 配置遠端訪問VPN安全訪問

需求

思科建議您瞭解以下主題：

• 安全訪問
• 無客戶端ZTNA
• Cisco安全使用者端 — VPN
• 思科安全使用者端 — ZTNA
• Palo Alto 11.x版防火牆

採用元件

本檔案中的資訊是根據：

• 安全訪問
• Cisco安全使用者端 — VPN
• 思科安全使用者端 — ZTNA
• Palo Alto 11.x版防火牆

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

安全訪問 — Palo Alto

思科設計了安全訪問，可保護和提供對內部和基於雲的私有應用的訪問。它還保護從網路到Internet的連線。這是通過實施多種安全方法和層實現的，所有這些方法都旨在保護通過雲訪問資訊時的資訊。

設定

在安全訪問中配置VPN

1.導航到Secure Access的管理面板。

安全訪問 — 首頁

2.按一下Connect > Network Connections。

安全訪問 — 網路連線

3.在Network Tunnel Groups下，按一下+Add。

安全訪問 — 網路隧道組

4.配置通道組名稱、區域和裝置型別。

5.按一下下一步。

6.設定通道ID格式和密碼短語。

7.按一下下一步。

8.配置在網路上配置的IP地址範圍或主機，並希望通過安全訪問傳遞流量。

9.按一下儲存。

安全存取 — 通道組 — 路由選項

10.按一下Save後，通道上的資訊就會顯示，請為下一步儲存此資訊；在Palo Alto上配置隧道。

通道資料

在Palo Alto上配置隧道

設定通道介面

導航至Palo Alto Dashboard。

1. Network > Interfaces > Tunnel。

2.單擊Add。

3.在Config功能表下，設定虛擬路由器、安全區域，並指定字尾編號。

4.在IPv4下，設定不可路由IP。例如，您可以使用169.254.0.1/30。

5.按一下OK。

6.之後，您可以配置如下內容：

7.如果已按此方式配置，請按一下Commit以儲存配置，然後繼續下一步；配置IKE加密配置檔案。

配置IKE加密配置檔案

要配置加密配置檔案，請導航到：

1. Network > Network Profile > IKE Crypto。

2.按一下Add。

3.配置下一個引數：

• 名稱:配置名稱以標識配置檔案。
• DH組:組19
• 驗證:非身份驗證
• 加密:aes-256-gcm
• 計時器：
  
  • 金鑰生存期:8小時
  • IKEv2驗證:0

4.完成所有配置後，按一下OK。

5.如果已按此方式配置，請按一下Commit以儲存配置，然後繼續下一步；配置IKE網關。

配置IKE網關

配置IKE網關

1. Network > Network Profile > IKE Gateways。

2.按一下Add。

3.配置下一個引數：

• 名稱:配置用於標識Ike網關的名稱
• 版本:僅IKEv2模式
• 地址型別:IPv4
• Interface:選擇您的網際網路WAN介面
• 本地IP地址:選擇您的網際網路WAN介面的IP
• 對等IP地址型別:IP
• 對等體地址:使用步驟隧道數據中給定的主要IP資料中心IP地址的IP
• 驗證:預共用金鑰
• 預共用金鑰:使用步驟通道資料中提供的密碼
• 確認預共用金鑰:使用步驟通道資料中提供的密碼
• 本地標識:選擇使用者FQDN（電子郵件地址），然後使用步驟Tunnel Data中給出的主隧道ID
• 對等體標識:選擇IP地址並使用主IP資料中心IP地址

4.按一下Advanced Options。

• 啟用NAT穿越
• 選擇在步驟配置IKE加密配置檔案中建立的IKE加密配置檔案
• 選中「活動檢查」覈取方塊

5.按一下OK。

6.如果進行了這樣的配置，請按一下Commit儲存配置，然後繼續下一步Configure IPSEC Crypto Profile。

配置IPSEC加密配置檔案

1.要配置IKE網關，請導航到Network > Network Profile > IPSEC Crypto。

2.按一下Add。

3.配置下一個引數：

• 名稱:使用名稱標識安全訪問IPsec配置檔案
• IPSec通訊協定：ESP
• 加密:aes-256-gcm
• DH組:no-pfs， 1小時

4.按一下OK。

5.如果已按此方式配置，請按一下Commit以儲存配置，然後繼續下一步；配置IPSec隧道。

配置IPSec隧道

1.要配置IPSec隧道，請導航到Network > IPSec Tunnels。

2.按一下Add。

3.配置下一個引數：

• 名稱:使用名稱來標識安全訪問隧道
• 通道介面:選擇在步驟配置隧道介面上配置的隧道介面
• Type:自動金鑰
• 地址型別:IPv4
• IKE閘道:選擇在步驟配置IKE網關上配置的IKE網關
• IPsec加密配置檔案:選擇在步驟配置IPSEC加密配置檔案上配置的IKE網關
• 選中「高級選項」覈取方塊
  • IPSec模式通道:選擇通道

4.按一下OK。

成功建立VPN後，您可以繼續執行步驟；配置基於策略的轉發。

配置基於策略的轉發

1.要配置基於策略的轉發，請導航到Policies > Policy Based Forwarding。

2.按一下Add。

3.配置下一個引數：

• 一般
  • 名稱:使用名稱標識安全訪問和策略基本轉發（按來源路由）
• 來源
  • 區域:選擇您計畫根據來源路由流量的區域
  • 來源位址:配置要用作源的主機或網路
  • 源使用者:配置要將流量路由到的使用者（如果適用）
• 目標/應用程式/服務
  • 目的地位址:您可以保留為Any，或指定安全訪問(100.64.0.0/10)的地址範圍
• 轉送中
  • Action:轉發
  • Egress Interface:選擇在步驟配置隧道介面上配置的隧道介面。
  • 下一跳:無

4.按一下OK和Commit。

現在，一切都在Palo Alto上進行了配置。設定路由後，便可建立通道。繼續在Secure Access Dashboard上配置RA-VPN、基於瀏覽器的ZTA或基於客戶端的ZTA。

修訂記錄

修訂	發佈日期	意見
2.0	09-Jul-2026	更新的拼寫、語法、間距、將行新增到各個部分的可讀性，以及更新的在新頁面中開啟的連結。
1.0	31-Jan-2024	初始版本