La conexión GlobalProtect falla con el error "No está autorizado a conectarse al GlobalProtect Portal"

168279

Created On 04/08/19 14:10 PM - Last Modified 03/26/21 17:35 PM

Symptom

GlobalProtect configurado en el Firewall archivo .
Al iniciar sesión en GP portal mediante Web-Browser, la autenticación se realiza correctamente.
Cuando intenta conectarse a través del GlobalProtect cliente, falla con el error "Usted no está autorizado a conectarse al GlobalProtect Portal"

Registros del sistema:

Imagen de usuario añadido

Environment

Global Protect Portal y Gateway configurados con criterios de selección de configuración de User/UserGroup.

Cause

Esto podría suceder cuando GlobalProtect el Portal está configurado con el grupo de usuarios/usuarios y el nombre de usuario que el cliente está intentando conectar no está en la lista o el nombre de usuario no está en la lista de miembros del AD grupo agregado bajo grupo de usuario/usuario.
El grupo de usuarios/usuarios se puede configurar navegando a network > GlobalProtect > Portal, haga clic en el nombre del portal> el agente > haga clic en la ficha De configuración del agente> criterios de selección de configuración.
A veces este problema se ve cuando el nombre de usuario aprendido a través GlobalProtect no coincide con el formato de nombre de usuario en la tabla de asignación de grupos.

Resolution

Aseegurese, el nombre de usuario usando el cual el cliente está intentando conectar se agrega en el grupo de usuario/usuario.
Si el usuario es miembro de un AD grupo, asegúrese de que el AD grupo se agrega en el grupo usuario/usuario.
Si el nombre de usuario o AD grupo ya está agregado, es posible que deba marcar más la configuración de "Usuario de dominio" en ID configuración de asignación de grupos de usuarios y perfil de autenticación.

Por ejemplo, El usuario está intentando conectarse al GP uso del nombre de usuario gpuser.
Si el GP grupo de usuarios/usuarios del Portal está configurado con un AD grupo (diga cn=it_operations,cn=users,dc=pandomain,dc=com), marque la salida del siguiente comando:

> show user group name cn=it_operations,cn=users,dc=pandomain,dc=com

source type: service
source:      AD_Group_Mapping_al.com
[1     ] pandomain\gpuser
[2     ] pandomain\alex
[3     ] pandomain\paloaltouser

En este caso, el gpuser de nombre de usuario no coincidirá con pandomain\gpuser en la tabla de asignación de grupos.
La configuración de "Dominio de usuario" con pandominio en el perfil de autenticación solucionará el problema.

Aquí hay algún artículo de referencia:
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClokCAC
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000CliyCAC
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClVcCAK

Additional Information

Siguiente comando de referencia:

show user group list

show user group name "Group_Name"

show user user-ids match-user <username>