GlobalProtect demande des informations d'identification d'Authentification aux clients deux fois

Scénario

UN périphérique réseau Palo Alto est configuré comme GlobalProtect Gateway et GlobalProtect Portal. La passerelle GlobalProtect et le portail GlobalProtect ont été configurés à l'Aide de différents profils d'Authentification.

Demande client

Lorsqu'un client GlobalProtect se connecte au périphérique Palo Alto Networks, le périphérique demande deux fois les informations d'Authentification. Même si le client s'authentifie avec succès sur Gateway, les journaux affichent l'échec de l'authentification.

Cause

Le client GlobalProtect se connecte d'abord au portail GlobalProtect. Cela peut demander à l'utilisateur des informations d'identification d'Authentification en fonction du profil d'Authentification configuré sur le portail. Le portail GlobalProtect dirigera ensuite le client vers la passerelle GlobalProtect, qui se trouve sur le même périphérique. L'appareil enverra également automatiquement les informations d'identification fournies au portail pour l'authentification vers la passerelle. Avec un profil d'Authentification différent configuré sur la passerelle GlobalProtect, cela peut provoquer une tentative d'Authentification défaillante et l'utilisateur est invité à entrer ses informations d'identification d'Authentification pour le profil d'Authentification de la passerelle.

Résolution

Pan-OS 6,0 a introduit une nouvelle option "modificateur d'Authentification" sous l'onglet général GlobalProtect Portal > client Configuration. Le modificateur "différent mot de passe pour passerelle externe" (comme indiqué dans la capture d'écran ci-dessous) indique que le portail et la passerelle utilisent des informations d'Authentification différentes. Cela provoque le pare-feu de Palo Alto Networks pour inviter l'utilisateur pour le mot de passe Gateway après l'authentification du portail réussit.

propriétaire : mdjeric