使用Palo Alto防火牆配置安全訪問

簡介

本文檔介紹如何使用Palo Alto防火牆配置Secure Access。

---

必要條件

• 配置使用者調配
• ZTNA SSO身份驗證配置
• 配置遠端訪問VPN安全訪問

---

需求

思科建議您瞭解以下主題：

• 安全訪問
• 無客戶端ZTNA
• Cisco安全使用者端 — VPN
• 思科安全使用者端 — ZTNA
• Palo Alto 11.x版防火牆

---

採用元件

本檔案中的資訊是根據： 

• 安全訪問
• Cisco安全使用者端 — VPN
• 思科安全使用者端 — ZTNA
• Palo Alto 11.x版防火牆

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

---

背景資訊

安全訪問 — Palo Alto

思科設計了安全訪問，可保護和提供對內部和基於雲的私有應用的訪問。它還保護從網路到Internet的連線。這是通過實施多種安全方法和層實現的，所有這些方法都旨在保護通過雲訪問資訊時的資訊。

---

設定

在安全訪問中配置VPN

1.導航到Secure Access的管理面板。

安全訪問 — 首頁

---

2.按一下Connect > Network Connections。

---

安全訪問 — 網路連線

---

3.在Network Tunnel Groups下，按一下+Add。

安全訪問 — 網路隧道組

---

4.配置通道組名稱、區域和裝置型別。

5.按一下下一步。

---

---

---

6.設定通道ID格式和密碼短語。

7.按一下下一步。

---

8.配置在網路上配置的IP地址範圍或主機，並希望通過安全訪問傳遞流量。

9.按一下儲存。

安全存取 — 通道組 — 路由選項

---

10.按一下後，Save將顯示隧道資訊，請儲存此資訊以供下一步使用；在Palo Alto上配置隧道。

---

通道資料

---

在Palo Alto上配置隧道

設定通道介面

導航至Palo Alto Dashboard。

1. Network > Interfaces > Tunnel。

2.單擊Add。

---

3.在Config功能表下，設定Virtual Router、Security Zone，並指派一個Suffix Number。 

---

4.在IPv4下，配置不可路由的IP。例如，可以使用169.254.0.1/30。

5.按一下 OK.

---

6.之後，您可以配置如下內容：

---

7.如果已按此方式配置，請按一下Commit儲存您的配置，然後繼續執行下一步；Configure IKE Crypto Profile。

---

配置IKE加密配置檔案

要配置加密配置檔案，請導航到： 

1. Network > Network Profile > IKE Crypto.

2. 按一下「新增」。

---

3.配置下一個引數：

• 名稱:配置名稱以標識配置檔案。
• DH組:組19
• 驗證:非身份驗證
• 加密:aes-256-gcm
• 計時器： 
  
  • 金鑰生存期:8小時
  • IKEv2驗證:0

4.完成所有配置後，按一下OK。

---

5.如果已按此方式進行配置，請按一下Commit儲存配置並繼續下一步；Configure IKE Gateways。

---

配置IKE網關

配置IKE網關

1. Network > Network Profile > IKE Gateways。

2.按一下Add。

3.配置下一個引數：

• 名稱：配置名稱以標識Ike網關
• 版本:僅IKEv2模式
• 地址型別:IPv4
• Interface:選擇您的網際網路WAN介面
• 本地IP地址:選擇您的網際網路WAN介面的IP
• 對等IP地址型別:IP
• 對等體地址:使用步驟隧道數據中給定的主要IP資料中心IP地址的IP
• 驗證:預共用金鑰
• 預共用金鑰:使用步驟通道資料中提供的密碼
• 確認預共用金鑰:使用步驟通道資料中提供的密碼
• 本地標識:選擇使用者FQDN（電子郵件地址），然後使用步驟Tunnel Data中給出的主隧道ID
• 對等體標識:選擇IP地址並使用主IP資料中心IP地址

---

---

4.按一下Advanced Options。

• 啟用NAT穿越
• 選擇在步驟配置IKE加密配置檔案中建立的IKE加密配置檔案
• 選中「活動檢查」覈取方塊

5.按一下OK。

---

---

6.如果進行了這樣的配置，請按一下Commit儲存配置，然後繼續執行下一步Configure IPSEC Crypto。

---

配置IPSEC加密配置檔案

1.要配置IKE網關，請導航到Network > Network Profile > IPSEC Crypto.

2. 按一下「Add」.

---

---

3.配置下一個引數： 

• 名稱:使用名稱標識安全訪問IPsec配置檔案
• IPSec通訊協定：ESP
• 加密:aes-256-gcm
• DH組:no-pfs， 1小時

4.按一下OK。

---

---

5.如果進行了這樣的配置，請按一下Commit儲存配置，然後繼續執行下一步；Configure IPSec Tunnels。

---

配置IPSec隧道

1.要配置IPSec隧道，請導航到Network > IPSec Tunnels。

2.按一下Add。

---

---

3.配置下一個引數：

• 名稱:使用名稱來標識安全訪問隧道
• 通道介面:選擇在步驟配置隧道介面上配置的隧道介面
• Type:自動金鑰
• 地址型別:IPv4
• IKE閘道:選擇在步驟配置IKE網關上配置的IKE網關
• IPsec加密配置檔案:  選擇在步驟配置IPSEC加密配置檔案上配置的IKE網關
• 選中「高級選項」覈取方塊
  • IPSec模式通道:選擇通道

4.按一下 OK

---

---

---

現在，VPN已成功建立，您可以繼續執行步驟：配置基於策略的轉發。

---

配置基於策略的轉發

1.要配置，Policy Based Forwarding請導航至 Policies > Policy Based Forwarding.

2. 按一下「新增」。

---

3.配置下一個引數：

• 一般 
  • 名稱:使用名稱標識安全訪問和策略基本轉發（按來源路由）
• 來源 
  • 區域:選擇您計畫根據來源路由流量的區域
  • 來源位址:配置要用作源的主機或網路
  • 源使用者:配置要將流量路由到的使用者（如果適用）
• 目標/應用程式/服務 
  • 目的地位址:您可以保留為Any，或指定安全訪問(100.64.0.0/10)的地址範圍
• 轉送中 
  • Action:轉發
  • Egress Interface:選擇在步驟配置隧道介面上配置的隧道介面。
  • 下一跳:無

4.按一下OK和Commit。

---

---

---

---

---

現在，您已在Palo Alto上配置所有內容，配置完路由後，即可建立隧道。您必須繼續在Secure Access Dashboard上配置RA-VPN、基於瀏覽器的ZTA或客戶端基礎ZTA。

修訂記錄

修訂	發佈日期	意見
2.0	09-Jul-2026	更新的拼寫、語法、間距、將行新增到各個部分的可讀性，以及更新的在新頁面中開啟的連結。
1.0	31-Jan-2024	初始版本