Konfigurieren GlobalProtect VPN mit einem externen Root CA

• Panorama
• 10.50.1.50

• Firewall
• Management-Schnittstelle: 10.50.1.10
• Schnittstelle nicht vertrauenswürdig: 42.11.45.1/24
• DMZ Schnittstelle: 172.16.45.1/24
• Web Server (hinten DMZ ): 172.16.45.50

• WindowsServer 2012
• 172.16.45.50

• Windows 7 PC
• 192.168.45.10

• Stellen Sie sicher, dass Active Directory auf Windows Server 2012 mit Gruppen und Benutzern installiert ist, die darauf erstellt wurden.
• Konfigurieren/überprüfen Sie, dass die DNS vollständige Funktion zwischen den folgenden Adressen und Systemen (Vorwärts und Rückwärts) funktioniert IP (d. h. stellen Sie sicher, dass nslookup funktioniert):
• Windows 7 PC
• Windows Server 2012
• PAN Firewall
• (d. h. Windows 7 PC muss in der Lage sein, die Adresse der Außenschnittstelle des zu nslookup IP und in einem Browser PAN firewall aufzulösen) FQDN firewall

1. Installieren der Zertifikatsdienste unter Windows Server 2012 (d. h. Windows Server 2012 zum CA Stammverzeichnis machen)
2. Exportieren des CA Stammzertifikats aus dem Windows Server 2012-Stamm CA
3. Installieren des CA Stammzertifikats auf Windows/Mac-PCs von Mitarbeitern
4. Importieren Sie CA das Stammzertifikat in firewall , generieren Sie auf , werden Sie von Windows Server CSR firewall CSR 2012 Root signiert CA , und installieren Sie dann das signierte Zertifikat auf dem firewall
5. Konfigurieren GlobalProtect Sie die Sicherheitsregel, und konfigurieren Sie sie Firewall Policy so, dass Datenverkehr von VPN außerhalb nach innen/DMZ
6. Herunterladen/Aktivieren von GlobalProtect Client-Software-Images, die Firewall dem Mitarbeiter Windows/Mac-PCs dienen
7. Herunterladen, Installieren und Herstellen einer Verbindung mit der firewall verwendenden GlobalProtect VPN Clientsoftware auf Windows/Mac-PCs von Mitarbeitern
8. Fehlerbehebung/Überprüfung/Debugs

1. Öffnen Sie Server Manager > klicken Sie auf Rollen und Features hinzufügen

2. Klicken Sie auf Rollenbasiert und auf Weiter

3. Wählen Sie den Windows Server aus, und klicken Sie auf Weiter

4. Wählen Sie Active Directory-Zertifikatsdienste aus, und klicken Sie auf Weiter

5. Klicken Sie zweimal auf Weiter

6. Wählen Sie Certification Authority Web Enrollment aus, und klicken Sie zweimal auf Weiter

7. Klicken Sie auf Weiter

8. Aktivieren Sie das Kontrollkästchen Zielserver automatisch neu starten, und klicken Sie auf Installieren

9. Sobald die Ladeleiste oben ausgeführt wurde, klicken Sie auf dem Zielserver auf Active Directory-Zertifikatsdienste konfigurieren.

10. Klicken Sie auf Weiter

11. Überprüfen Sie die Webregistrierung der Zertifizierungsstelle und der Zertifizierungsstelle, und klicken Sie zweimal auf Weiter

12. Wählen Sie Stamm und CA klicken Sie auf Weiter

13. Wählen Sie Erstellen eines neuen privaten Schlüssels aus, und klicken Sie auf Weiter

14. Wählen Sie SHA256 als Hashalgorithmus, den dieser Windows Server 2012 Root zum Signieren von CA Zertifikaten verwendet (die meisten modernen Browser zeigen Warnungen für alles unter SHA256 an) - klicken Sie auf Weiter

15. Speichern dieser Informationen auf einem Notizblock - klicken Sie auf Weiter, bis zum nächsten Schritt (Bestätigungsbildschirm)

16. Klicken Sie auf Konfigurieren

17. Starten eines Webbrowsers und wechseln Sie zu http://172.16.45.50/certsrv - geben Sie die Administratoranmeldeinformationen für Windows Server 2012 ein.

18. Jetzt ist Windows Server 2012 ein Root CA . Jetzt kann es CSRs signieren, die an sie gesendet werden - Windows Server 2012 nimmt die CSR und gibt ein signiertes Zertifikat im Gegenzug zurück (d. h. dieses Zertifikat wird von Windows Server 2012 signiert, das der Stamm CA ist)

1. Klicken Sie auf CA Zertifikat, Zertifikatkette oder CRL

2. Klicken Sie auf CA Zertifikat herunterladen

3. Benennen Sie es in RootCACert um

1. Legen Sie die RootCACert-Datei auf dem Windows 7-Client ab, PC und doppelklicken Sie, um das Zertifikat zu installieren:

2. Klicken Sie auf Weiter

3. Alle Zertifikate im folgenden Speicher platzieren auswählen - klicken Sie auf Durchsuchen und wählen Sie den Ordner Vertrauenswürdige Stammzertifizierungsstellen aus - klicken Sie auf Ok und Weiter, und klicken Sie auf Fertig stellen

 

1. Wechseln Sie zu http://172.16.45.50/certsrv und klicken Sie auf CA Zertifikat, Zertifikatskette oder CRL

2. Wählen Sie Base 64 > klicken Sie aufZertifikat CA herunterladen 

3. Benennen Sie es in RootCACertFW um

4. Wechseln Sie zu Panorama oder zum und gehen Sie zu Firewall Device > Zertifikatsverwaltung > Zertifikaten > klicken Sie auf Importieren
5. Geben Sie einen Zertifikatsnamen für das CA Stammzertifikat ein.
6. Wählen Sie das RootCACertFW-Zertifikat aus, das wir gerade heruntergeladen haben
7. Wählen Sie das Dateiformat als Base64-codiertes Zertifikat ( PEM )
8. Klicken Sie auf Ok

Hinweis: Wenn Sie über ein CA Zwischenstammzertifikat verfügen, importieren Sie es jetzt unter dem CA Stammzertifikat

9. Wechseln Sie zu Panorama oder zum Device > Firewall Zertifikatsverwaltung > Zertifikaten, und klicken Sie auf Generieren
10. Geben Sie den Zertifikatsnamen für das Zertifikat als GPPortalGatewayCert ein (dieses Feld wird später wichtig sein - erinnern Sie sich an den Zertifikatsnamen)
11. Geben Sie den allgemeinen Namen als IP Außenadresse des firewall (oder welchen Namens auch immer DNS die Adresse IP nslookup, wenn im Internet)
12. Wählen Sie die Option Signiert von als 'Externe Behörde ( CSR )'
13. Klicken Sie auf Hinzufügen, um dem Zertifikat ein SAN Feld ( ) hinzuzufügen - dieses IP IP SAN /Feld muss mit den firewall 's übereinstimmen FQDN und muss vom Mitarbeiter aufgelöst werden, um über den PC Client eine Verbindung zum Portal und Gateway des firewall 's GlobalProtect VPN herzustellen.
14. Klicken Sie auf Generieren

 

 

15. Aktivieren Sie das Kontrollkästchen für die CSR und klicken Sie auf Zertifikat exportieren - das Zertifikat wird in die PC

 

16. Starten Sie einen Webbrowser, und wechseln Sie zu http://172.16.45.50/certsrv
17. Klicken Sie auf Zertifikat anfordern

18. Klicken Sie auf Erweiterte Zertifikatanforderung

19. Öffnen Sie cert_GPPortalGatewayCert.csr mit Notepad - kopieren Sie den Inhalt und fügen Sie ihn in das Feld wie folgt ein:
20. Zertifikatvorlagenwebserver auswählen
21. Klicken Sie auf Senden

22. Wählen Sie Base 64 codiert
23. Klicken Sie auf Zertifikat herunterladen

Hinweis: Beim Importieren dieses signierten Zertifikats muss es genau denselben Namen wie das CSR (Feld Zertifikatsname) haben, das wir im obigen Web generiert haben, Firewall UI d. h. es muss GPPortalGatewayCert genannt werden.

24. Öffnen Panorama Sie erneut, und wechseln Sie zu Device > Certificate Management > Certificates > Aktivieren Sie das vorhandene CSR Kontrollkästchen, und klicken Sie auf Importieren 
25. Geben Sie den Zertifikatsnamen ein
26. Klicken Sie auf Durchsuchen und wählen Sie GPPortalGatewayCert.cer
27. Wählen Sie das Dateiformat als Base64-codiertes Zertifikat ( PEM )
28. Klicken Sie auf Ok

Zu diesem Zeitpunkt verfügt der über firewall ein CA Stammzertifikat RootCACertFW, und das firewall verfügt über ein Firewall Serverzertifikat GPPortalGatewayCert, das von diesem Stammzertifikat signiert CA ist.
 
Dieses Firewall Serverzertifikat ist das Zertifikat, das den Client-PCs präsentiert wird, wenn sie eine Verbindung mit der firewall via GlobalProtect herstellen. Die Client-PCs vertrauen diesem Zertifikat, da der Client PC diesem Stamm aufgrund des Schritts, den wir zuvor in diesem Dokument gemacht haben, in dem wir das Stammzertifikat auf dem Windows 7-Client installiert haben, die CA CA PC




Sicherheitsregel konfigurieren und GlobalProtect Firewall konfigurieren, um den Datenverkehr von Policy VPN außerhalb nach Innen/ zuzulassen.DMZ

1. Gehen Sie zu Device > Certificate Management > / SSLService TLS Profile und erstellen Sie ein SSL/ TLS Dienstprofil, das auf das signierte Firewall Serverzertifikat GPPortalGatewayCertverweist, das wir im obigen Schritt signiert und importiert haben:

2. Gehen Sie zu Geräte- > Serverprofile> LDAP klicken Sie > auf Hinzufügen
3. Eingeben eines Profilnamens
4. Klicken Sie unter Serverliste > auf Hinzufügen klicken, und geben Sie die IP Adresse von Windows Active Directory LDAP (Server) und Port 389 für LDAP
5. Klicken Sie auf Ok

6. Navigieren sie zum Geräte->-Authentifizierungsprofil > klicken Sie auf Hinzufügen  
7. Geben Sie einen Namen ein
8. Typ LDAP auswählen
9. Serverprofil auswählen, das über panlabDCldapserverprof erstellt wurde
10. Login-Attribut als sAMAccountName eingeben

11. Klicken Sie auf die Registerkarte Erweitert > klicken Sie auf Hinzufügen und Hinzufügen von "alle" oder wählen Sie bestimmte Gruppen aus, wenn der Zugriff nur auf bestimmte GlobalProtect VPN AD /gruppen eingeschränkt werden soll. LDAP

12. Erstellen einer Tunnelschnittstelle, für die eine Tunnelnummer verwendet werden soll, GlobalProtect VPN und geben Sie ihr eine Tunnelnummer.
13. Wählen Sie den virtuellen Router
14. Wählen Sie eine Sicherheitszone aus – Es wird empfohlen, eine separate Sicherheitszone für den Datenverkehr zu erstellen, VPN da sie mehr Flexibilität beim Erstellen von Sicherheit für den Policy Datenverkehr bietet. VPN
15. Klicken Sie auf Ok

16. Gehen Sie zu Netzwerk > GlobalProtect > Portals > klicken Sie auf > allgemeine Registerkarte hinzufügen
17. Wählen Sie aus, welche Schnittstelle und IP Adresse das Portal sein GlobalProtect soll, mit dem der Client eine PC Verbindung herstellt.

18. Über die Registerkarte Authentifizierung
19. Wählen Sie das oben erstellte SSL TLS / Serviceprofil aus
20. Klicken Sie unter Clientauthentifizierung auf Hinzufügen
21. Geben Sie einen Namen ein
22. Wählen Sie das Authentifizierungsprofil aus, das wir oben erstellt haben.
23. Wählen Sie Ja (Benutzeranmeldeinformationen OR Clientzertifikat erforderlich)
24. Klicken Sie auf Ok

 

25. Auf der Registerkarte Agent
26. Klicken Sie unter Agent hinzufügen
27. Geben Sie unter Registerkarte Authentifizierung einen Namen ein

28. Klicken Sie unter Registerkarte Externe Gateways auf Hinzufügen
29. Geben Sie einen Namen ein
30. Geben Sie das FQDN Firewall Feld SAN/HostName des Zertifikats früher in diesem Dokument ein (in GPPortalGatewayCert)

31. Wählen Sie unter der Registerkarte App Dropdown-Liste Methode verbinden aus und wählen Sie On-Demand (Manuelle vom Benutzer initiierte Verbindung)

32. Klicken Sie auf Ok
33. Klicken Sie auf Hinzufügen, um RootCACertFW (in den Firewall älteren Teil dieses Dokuments importiert) zur Liste der vertrauenswürdigen Stammzertifizierungsstellen für das Portal hinzuzufügen. GlobalProtect

Hinweis: Wenn Sie über ein CA Zwischenzertifikat verfügen, fügen Sie es hier unter dem CA Stammzertifikat hinzu.

34. Klicken Sie auf Ok
35. Von Configure GlobalProtect Gateway
36. Geben Sie einen Namen ein

37. Wählen Sie ein SSL/ TLS Dienstprofil
38. Klicken Sie unter Clientauthentifizierung auf Hinzufügen

39. Geben Sie einen Namen ein
40. Wählen Sie das Authentifizierungsprofil aus, das weiter oben im obigen Schritt erstellt wurde.
41. Wählen Sie Ja (Benutzeranmeldeinformationen OR Clientzertifikat erforderlich)

42. Klicken Sie auf Ok
43. Wählen Sie die Tunnelschnittstelle aus, die für diese GlobalProtect Konfiguration weiter oben in diesem Dokument erstellt wurde.
44. Aktivieren Sie das Kontrollkästchen 'IPSec aktivieren' - Wenn keine Verbindung mit dem über IPSec hergestellt GlobalProtect werden Firewall kann, SSL

45. Klicken Sie unter Registerkarte Clienteinstellungen auf Hinzufügen

46. Geben Sie einen Namen ein

47. Geben Sie einen Pool von Adressen ein, bei denen es sich um die Adressen handelt, IP die der Client als Adresse auf seinem Adapter IP GlobalProtect PC IP GlobalProtect VPN PC erhält, wenn er eine Verbindung über den GlobalProtect Agenten herstellt. VPN

48. Klicken Sie auf Ok

1. Gehen Sie zu Panorama / Web und gehen Sie zur Registerkarte > Firewall UI Panorama Gerätebereitstellung > klicken Sie auf GlobalProtect Client
2. Klicken Sie auf Herunterladen und klicken Sie auf Aktivieren der GlobalProtect Software, die die Endbenutzer verwenden. Dies wird auch die Version sein, die der Firewall Client PC gibt, wenn sie auf die Portal-Seite des gehen und downloaden für die Firewall GlobalProtect Verwendung.

 

 

1. Lassen Sie den Endbenutzer zu https://fw1.panlab.com gehen und sich mit seinen Anmeldeinformationen anmelden

2. Der Endbenutzer wird einen Bildschirm wie diesen sehen, wo er wählen kann, welche GlobalProtect Software er herunterladen und installieren möchte:

3. Klicken Sie auf Verbinden

4. Lassen Sie den Endbenutzer seine Anmeldeinformationen eingeben und klicken Sie auf Anmelden

5. Der Client PC ist nun erfolgreich mit dem Unternehmensnetzwerk verbunden GlobalProtect VPN über:

6. Der Client PC ist über das Internet mit dem Internet GlobalProtect VPN firewall verbunden, und der Client kann einen PC Webserver hinter der DMZ Schnittstelle/Zone des firewall erfolgreichen jetzt erreichen, da er VPN 'd:

• Vom Kunden PC
• Vom GlobalProtect Agenten
• Aus dem Firewall

1. Stellen Sie sicher, dass die Desaußerhalb des Endbenutzers die Außenschnittstelle von der PC Endoberfläche erreichen kann - und dass firewall sie sich an die richtige FQDN Adresse auflöst. IP

2. Öffnen Sie GlobalProtect auf dem Client > klicken Sie auf das Symbol oben rechts mit drei PC Balken in > klicken Sie GlobalProtect auf Einstellungen

 

 

1. Wechseln Sie zur Registerkarte Einstellungen > Fehlerbehebung, > Protokolle sammeln > entpacken und > PanGPA öffnen.log
2. Protokolle der neuen GlobalProtect 5.0.4 Software zum Herunterladen und Installieren:

1. Wechseln sie zum Überwachen > Protokolle > Systemprotokollen

admin@ PA- VM2(active)> zeigen global-protect-gateway gateway name panlab_Gateway
GlobalProtect Gateway: panlab_Gateway (1 Benutzer)
Tunneltyp : Remote User Tunnel Name :
panlab_Gateway- : N
VSYS vsys1 (id 1)
Tunnel : 3 Tunnel Interface : ID
tunnel.2
Tunnel IPv6 Enabled : no
Encap Interface : ethernet1'4
vr-id : 0
Vererbung von :
Lokale Adresse (IPv4) : 42. 11.45.1
SSL Server-Port : 443
IPSec Encap : ja
Tunnel-Aushandlung :
HTTP ssl-Umleitung :
UDP kein Port : 4501
Max Benutzer : 0 Ausschließen
Videoverkehr : keine
Gateway-Level IP Pool Bereiche:
Gateway-Level IP Pool Index: 0
Gateway-Level IPv6 Pool Ranges:
Gateway-Level IPv6 Pool Index: 0
config Name : panlab_GWClientSettings
Benutzergruppen : any;
OS                         : beeinen;
IP Poolbereiche : 192.168.1.50 - 192.168.1.250(192.168.1.51);
IP Poolindex : 0
IPv6 Pool Bereiche :
IPv6 Pool index : 0
Kein direkter Zugriff auf lokales Netzwerk: kein Abrufen
IP gerahmte Adresse : keine
Auth Server Pool Bereiche : IP
Auth Server IPv6 Pool Bereiche:
Zugriffsrouten : 0.0.0.0/0
Ausschließen Zugriffsrouten : Server : Server
DNS :
DNS Suffix : Server : Server
DNS Cert
WINS
SSL : GPPortalGatewayCert
Client Authentication : Auth Name : panlab_GwClientAuth
Auth : Any OS
Auth Profile : panlabLDAP_authprof
Allow User Credentials Client OR Cert: yes Client Cert Profile :
Lifetime :
2592000 seconds
Idle Timeout : 108 00 Sekunden
Disconnect On Idle : 10800 Sekunden
Automatische Wiederherstellung nicht zulassen: keine
IP Quellprüfung : keine
Verschlüsselung : aes-128-cbc
Authentifizierung : sha1

admin@ PA- VM2(active)> zeigen global-protect-gateway current-user gateway panlab_Gateway
admin@ PA- VM2(active)> zeigen global-protect-gateway current-user user jsmith
2019-09-15 11:15:49
GlobalProtect Gateway: panlab_Gateway (1 Benutzer)
Tunnelname : panlab_Gateway- N
Domain-Benutzername :
'jsmith Computer : COMP- WIN7-2
Primary Username           : jsmith
Region for Config          : KR
Source Region              : KR
Client                     : Microsoft Windows 7 Enterprise Edition Service Pack 1, 64-bit
VPN Type                   : Device Level VPN
Mobile ID :
Client OS : Windows
Private IP : 192.168.1.50
Private IPv6               : ::
Public IP (connected)      : 42.11.45.10
Public IPv6                : ::
Client IP : 42.11.45.10
ESP : exist
SSL : none
Login Time                 : Sep.15 11:07:18
Logout/Expiration          : Oct.15 11:07:18
TTL : 2591489
Inactivity TTL : 10302
Request - Login            : 2019-09-15 11:07:18.254 (1568570838254), 42.11.45.10
Request - GetConfig        : 2019-09-15 11:07:18.396 (1568570838396), 42.11.45.10
Request - SSLVPNCONNECT :  (0), ::

admin@ PA- VM2(active)> less mp-log rasmgr.log
2019-09-15 11:07:18.208 -0700 req->portal address 0x7fffdc096250
2019-09-15 11:07:18.251 -0700 192.168.1.50 is framed ip? no
2019-09-15 11:07:18.251 -0700 retrieve-framed-ip-address(no);  is-preferred-ip-a-framed-ip(nein); retrieve-framed-ip-address-v6(nein);  is-preferred-ip-a-framed-ipv6(nein);
2019-09-15 11:07:18.252 -0700 req->portal adresse 0x7fffd8064ca0
2019-09-15 11:07:18.254 -0700 neue Cookie: ******
2019-09-15 11:07:1 8.254 -0700 rasmgr_sslvpn_client_register Speicherplatz panlab_Gateway- N Domain-Benutzer jsmith Computer COMP- WIN7-2 Ergebnis 0
2019-09-15 11:07:18.396 -0700 Client vorhandene Adresse 42.11.45.10/24; bevorzugte ip 192.168.1.50; Adresse-v6 2002::/16,1234:1234:2d0a::1234:1234/128; bevorzugte ipv6 Keine; Client exclude video support yes; gw license no
2019-09-15 11:07:18.397 -0700 Hinzufügen von Infos in usr info zu haremoteusr info for:jsmith
2019-09-15 11:07:18.397 -0700 GW Installationstunnel, zeigen Sie keymgr... exclude_video_traffic_enable=0 [0 0]
2019-09-15 11:07:31.066 -0700 Adding info in usr info to haremoteusr info for:jsmith

admin@ PA- VM2(active)> less appweb-log sslvpn-access.log
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/prelogin.esp?kerberos-support=yes&tmp=tmp&clientVer=4100&host-id=433474f9-7a92-4f6f-9990-43731e8697fe&clientos=Windows&os-version=Microsoft+Windows+7+Enterprise+Edition+Service+Pack+1%2c+64-bit&ipv6-support=yes HTTP /1.1" 200 968
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/login.esp HTTP /1.1" 200 2840
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/getconfig.esp HTTP /1.1" 200 1809
42.11.45.1 - - [Sun Sep 15 11:07:31 2019 PDT ] " POST /ssl-vpn/hipreportcheck.esp HTTP /1.1" 200 561
127.0.0.1 - - [Sun Sep 15 11:08:06 2019 PDT ] " GET /robots.txt HTTP /1.1" 200 250

admin@ PA- VM2(active)> show global-protect-gateway flow
total GlobalProtect -Gateway tunnel shown:                     2
id    name                  local-i/f         local-ip                      tunnel-i/f
--    ----                  ---------         --------                      ----------
3     panlab_Gateway- N ethernet1/4       42.11.45.1                    tunnel.2

admin@ PA- VM2(active)> show global-protect-gateway flow name panlab_Gateway
2019-09-15 11:18:38
id : 3
Typ: GlobalProtect -Gateway
local ip: 42.11.45.1
innere Schnittstelle: tunnel.2 äußere Schnittstelle: ethernet1'4
ssl cert: GPPortalGatewayCert
aktive Benutzer: 1
assigned-ip remote-ip-Verkapselung MTU ---------------------------------------------------------------------------------------------------------------------- 1

92.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (Kontext 619)

admin@ PA- VM2(aktiv)> global-protect-anzeigen Gateway-Flow-Tunnel-id 3-Tunnel-panlab_Gateway-ID:
N
3
Typ: GlobalProtect -Gateway local
ip: 42.11.45.1
innere Schnittstelle: tunnel.2 äußere Schnittstelle: ethernet1'4
ssl cert: GPPortalGatewayCert
aktive Benutzer: 1
assigned-ip MTU remote-ip-Encapsulation
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (Kontext 619)