Cómo configurar GlobalProtect VPN usando una raíz externa CA

• Panorama
• 10.50.1.50

• Firewall
• Interfaz de gestión: 10.50.1.10
• Interfaz de desconfianza: 42.11.45.1/24
• DMZ interfaz: 172.16.45.1/24
• Servidor Web DMZ (detrás): 172.16.45.50

• Windows Server 2012
• 172.16.45.50

• Windows 7 PC
• 192.168.45.10

• Compruebe que Windows Server 2012 tiene Active Directory instalado y ejecutándose con grupos y usuarios creados en él.
• Configure/verifique que DNS esté funcionando completamente entre las siguientes direcciones y sistemas IP (adelante y atrás) (es decir, asegúrese de que nslookup funciona):
• Windows 7 PC
• Windows Server 2012
• PAN Firewall
• (es decir, Windows 7 PC debe ser capaz de nslookup la dirección de interfaz exterior de la y resolver a la de un IP PAN firewall FQDN firewall navegador)

1. Instalar servicios de certificados en Windows Server 2012 (es decir, hacer de Windows Server 2012 la CA raíz)
2. Exporte el certificado raíz CA desde la raíz de Windows Server 2012 CA
3. Instale el certificado raíz CA en los equipos Windows/Mac de los empleados
4. Importar certificado raíz CA en , generar en , obtener firmado por raíz de Windows Server firewall CSR firewall CSR 2012 CA y, a continuación, instalar ese certificado firmado en el firewall
5. Configure en la regla de seguridad y configure para permitir el GlobalProtect tráfico de fuera a Firewall Policy VPN dentro/DMZ
6. Descargar/Activar GlobalProtect imágenes de software cliente que Firewall servirán a los pcs Windows/Mac de los empleados
7. Descargue, instale y conéctese al firewall software cliente using en los equipos GlobalProtect VPN Windows/Mac de los empleados
8. Solución de problemas/Verificación/Depuración

1. Abra el Administrador del servidor > haga clic en Agregar roles y características

2. Haga clic en Basado en roles y haga clic en Siguiente

3. Seleccione Windows Server y haga clic en Siguiente

4. Seleccione Servicios de certificados de Active Directory y haga clic en Siguiente

5. Haga clic en Siguiente dos veces

6. Seleccione Inscripción web de la entidad de certificación y haga clic en Siguiente dos veces

7. Haga clic en Siguiente

8. Marque la casilla reiniciar el servidor de destino automáticamente si es necesario y haga clic en Instalar

9. Una vez que la barra de carga se realiza arriba, haga clic en Configurar servicios de certificados de Active Directory en el servidor de destino

10. Haga clic en Siguiente

11. Compruebe la inscripción web de la entidad de certificación y la entidad de certificación y haga clic en Siguiente dos veces

12. Seleccionar raíz CA y haga clic en Siguiente

13. Seleccione Crear una nueva clave privada y haga clic en Siguiente

14. Seleccione SHA256 como el algoritmo hash que esta raíz de Windows Server 2012 CA usará para firmar certificados (la mayoría de los navegadores modernos mostrarán advertencias para cualquier cosa debajo de SHA256) - haga clic en Siguiente

15. Guarde esta información en un bloc de notas : haga clic en Siguiente hasta el paso siguiente (pantalla Confirmación)

16. Haga clic en Configurar

17. Inicie un explorador web y vaya a http://172.16.45.50/certsrv - escriba las credenciales de administrador para Windows Server 2012

18. Ahora Windows Server 2012 es una raíz CA . Ahora, puede firmar CSR enviados a él - Windows Server 2012 tomará el y devolverá un certificado firmado a CSR cambio (es decir, ese certificado será firmado por Windows Server 2012 que es la CA raíz)

1. Haga clic en Descargar un CA certificado, una cadena de certificados o CRL

2. Haga clic en Descargar CA certificado

3. Cambiarle el nombre a RootCACert

1. Coloque el archivo RootCACert en el cliente de Windows 7 PC y haga doble clic para instalar el certificado:

2. Haga clic en Siguiente

3. Seleccione Colocar todos los certificados en el siguiente almacén - haga clic en Examinar y seleccione la carpeta Entidades de certificación raíz de confianza - haga clic en Aceptar y siguiente y haga clic en Finalizar

 

1. Vaya a http://172.16.45.50/certsrv y haga clic en Descargar un CA certificado, una cadena de certificados o CRL

2. Seleccionar Base 64 > haga clic enDescargar CA certificado 

3. Cámbiele el nombre a RootCACertFW

4. Vaya Panorama a o Firewall vaya a Certificados de > administración de certificados de > de dispositivos > haga clic en Importar
5. Escriba un nombre de certificado para el certificado raíz CA
6. Seleccione el certificado RootCACertFW que acabamos de descargar
7. Seleccione el formato de archivo como certificado codificado base64 ( PEM )
8. Haga clic en Aceptar

Nota: Si tiene un certificado raíz CA intermedio, impórtelo aquí ahora bajo el certificado raíz CA

9. Vaya Panorama a o Firewall vaya a Certificados de > de administración de certificados de > de dispositivos y haga clic en Generar
10. Escriba el nombre del certificado para el certificado como GPPortalGatewayCert (este campo será importante más adelante - recuerde el nombre del certificado)
11. Escriba el nombre común como la dirección externa IP del firewall (o cualquier nombre que dirección DNS IP nslookup's a si en Internet)
12. Seleccione la opción Firmado por como 'Autoridad externa ( CSR )'
13. Haga clic en Agregar para agregar un SAN campo ( ) al certificado - este / campo debe coincidir IP con el IP SAN firewall 's FQDN y debe ser resoluble por el empleado PC 's para conectarse al portal firewall 's y puerta de enlace a través del GlobalProtect VPN cliente
14. clic Generar

 

 

15. Seleccione la casilla de verificación para el CSR y haga clic en Exportar certificado - el certificado se descargará a la PC

 

16. Inicie un navegador web y vaya a http://172.16.45.50/certsrv
17. clic Solicite un certificado

18. Haga clic en Solicitud avanzada de certificado

19. Abra cert_GPPortalGatewayCert.csr con el Bloc de notas - copie y pegue el contenido en el campo como se muestra a continuación:
20. Seleccione Servidor web de plantilla de certificado
21. haga clic en Enviar

22. Seleccione Base 64 codificada
23. Haga clic en Descargar certificado

Nota: Al importar este certificado firmado, debe tener exactamente el mismo nombre que el CSR (campoNombre de certificado) que generamos en la Firewall Web UI anterior, es decir, debe denominarse GPPortalGatewayCert

24. Abra Panorama de nuevo y vaya a La administración de certificados de > dispositivos > certificados > casilla de verificación existente y haga clic CSR en Importar 
25. Escriba el nombre del certificado
26. Haga clic en Examinar y seleccione GPPortalGatewayCert.cer
27. Seleccione el formato de archivo como certificado codificado base64 ( PEM )
28. Haga clic en Aceptar

En este momento, el firewall tiene un certificado raíz CA RootCACertFW, y el firewall tiene un certificado de servidor Firewall GPPortalGatewayCert que está firmado por ese CA certificado raíz.
 
Este Firewall certificado de servidor es el certificado que se presentará a los equipos de cliente cuando se conecten a la firewall GlobalProtect vía. Los EQUIPOS de cliente confiarán en este certificado porque el cliente PC también confía en esta raíz debido al paso que hicimos CA anteriormente en este documento donde instalamos el certificado raíz CA en la configuración del cliente de Windows 7 PC




en la regla de seguridad y configurar para permitir el tráfico de fuera al GlobalProtect Firewall Policy VPN interior/DMZ

1. Vaya al > de administración de certificados > / perfil de SSL TLS servicio y cree un SSLperfil / TLS servicio haciendo referencia al certificado de servidor firmado Firewall GPPortalGatewayCert, que nos firmaron e importaron en el paso anterior:

2. Vaya a Perfiles de servidor de > dispositivo > > haga clic LDAP en Agregar
3. Escriba un nombre de perfil
4. En Lista de servidores > haga clic en Agregar y escriba la dirección de Windows Active IP Directory LDAP (servidor) y el puerto 389 para LDAP
5. Haga clic en Aceptar

6. Navegue al perfil de autenticación del dispositivo > > haga clic en Agregar 
7. Escriba un nombre
8. Seleccionar tipo LDAP
9. Seleccione Perfil del servidor creado anteriormente panlabDCldapserverprof
10. Escriba Atributo de inicio de sesión como sAMAccountName

11. Haga clic en la pestaña Avanzadas > haga clic en Agregar y agregue "todos" o seleccione ciertos grupos si GlobalProtect VPN debe restringir el acceso a ciertos AD / grupos LDAP solamente

12. Cree una interfaz de túnel para usar GlobalProtect VPN y déle un número de túnel
13. Seleccione el router virtual
14. Seleccione una zona de seguridad: se recomienda crear una zona de seguridad independiente para VPN el tráfico, ya que proporciona más flexibilidad en la creación de seguridad Policy para el VPN tráfico
15. Haga clic en Aceptar

16. Vaya a Network > GlobalProtect > Portals > haga clic en agregar > pestaña General
17. Seleccione la interfaz y IP la dirección que va a ser el Portal al que se GlobalProtect conectará el cliente PC

18. Desde la pestaña Autenticación
19. Seleccione el SSL TLS / Perfil de servicio creado anteriormente
20. Haga clic en Agregar en Autenticación de cliente
21. Escriba un nombre
22. Seleccione el perfil de autenticación que hicimos anteriormente
23. Seleccionar sí OR (se requiere certificado de cliente de credenciales de usuario)
24. Haga clic en Aceptar

 

25. Desde la pestaña Agente
26. Haga clic en Agregar en Agente
27. En la pestaña Autenticación escriba un nombre

28. En la pestaña Puertas de enlace externas, haga clic en Agregar
29. Escriba un nombre
30. Escriba el FQDN que se puso en el campo Firewall SAN/Nombre de host del certificado anteriormente en este documento (en GPPortalGatewayCert)

31. En la pestaña Aplicación, seleccione Conectar método desplegable y seleccione Bajo demanda (Conexión manual iniciada por el usuario)

32. Haga clic en Aceptar
33. Haga clic en Agregar para agregar RootCACertFW (importado en el Firewall anterior en este documento) a la lista de CA raíz de confianza para el GlobalProtect portal

Nota: Si tiene un CA Certificado Intermedio, agréguelo aquí debajo del Certificado Raíz CA

34. Haga clic en Aceptar
35. Desde Configurar puerta de GlobalProtect enlace
36. Escriba un nombre

37. Seleccione un SSLperfil / TLS servicio
38. En Autenticación de cliente, haga clic en Agregar

39. Escriba un nombre
40. Seleccione el perfil de autenticación creado anteriormente en el paso anterior
41. Seleccionar sí OR (se requiere certificado de cliente de credenciales de usuario)

42. Haga clic en Aceptar
43. Seleccione la interfaz del túnel creada para esta GlobalProtect configuración anterior en este documento
44. Seleccione la casilla de verificación 'Habilitar IPSec' - si GlobalProtect no se conecta al Firewall IPSec de más, volverá a SSL

45. En la pestaña Configuración del cliente, haga clic en Agregar

46. Escriba un nombre

47. Escriba un grupo de IP direcciones que serán las direcciones que el Cliente recibirá como dirección en su IP adaptador cuando se GlobalProtect PC IP GlobalProtect VPN PC conecten a través del GlobalProtect VPN Agente

48. Haga clic en Aceptar

1. Vaya a Panorama / Web y vaya a la pestaña > Implementación de Firewall dispositivos > haga clic en UI Panorama GlobalProtectCliente
2. Haga clic en Descargar y haga clic en Activar en cualquier versión del software que utilicen los GlobalProtect usuarios finales. Esta será también la versión que el Firewall cliente le da si van a la página del Portal de la y descarga para su PC Firewall GlobalProtect uso.

 

 

1. Pida al usuario final que vaya a https://fw1.panlab.com e inicie sesión con sus credenciales

2. El usuario final verá una pantalla como esta donde puede elegir qué GlobalProtect software le gustaría descargar e instalar:

3. Haga clic en Conectar

4. Pida al usuario final que escriba sus credenciales y haga clic en Iniciar sesión

5. El Cliente PC ahora está conectado con éxito a la red corporativa a través GlobalProtect VPN de:

6. El Cliente PC está conectado a través de GlobalProtect VPN firewall Internet, y el Cliente puede llegar PC a un servidor web detrás de la DMZ interfaz/zona del firewall con éxito ahora que es VPN 'd:

• Desde el cliente PC
• Del GlobalProtect agente
• De la Firewall

1. Asegúrese de que el usuario final PC puede llegar a la interfaz exterior por su - y que se resuelve a la firewall FQDN dirección correcta IP

2. Abra GlobalProtect en el cliente > haga clic en el icono superior derecho de tres PC barras en > haga clic en GlobalProtect Configuración

 

 

1. Vaya a Configuración > pestaña Solución de problemas > Recopilar registros > descomprimirlos y abrir > PanGPA.log
2. Registros del nuevo GlobalProtect software 5.0.4 descargando e instalando:

1. Vaya a Supervisar registros de > > registros del sistema

admin@ PA- VM2(active)> mostrar el nombre de la puerta de enlace global-protect-gateway panlab_Gateway
GlobalProtect Gateway: panlab_Gateway (1 usuarios)
Tipo de túnel : nombre del túnel del usuario remoto :
panlab_Gateway- : N
VSYS vsys1 (id 1)
Túnel : ID 3 Interfaz del túnel : túnel

IPv6 habilitado : sin
interfaz Encap : ethernet1/4
vr-id : 0
Herencia de : Dirección local
(IPv4) : 42.11.45.1
SSL Puerto del servidor : 443
IPSec Encap : sí
Negociación de túnel :
HTTP redirección ssl : sin
UDP puerto : 4501 Usuarios máximos :
0 Excluir tráfico de
vídeo : sin
rangos de grupo de nivel de puerta de IP enlace: Índice de grupo
de nivel de puerta de IP enlace: 0
Rangos de grupo IPv6 de
nivel de puerta de enlace: 0
nombre de configuración: panlab_GWClientSettings grupos de
usuarios: cualquiera;
OS                         : cualquiera;
IP Rangos de piscina : 192.168.1.50 - 192.168.1.250(192.168.1.51);
IP Índice de grupo : 0
Rangos de grupo IPv6 :
Índice de grupo IPv6 : 0
Sin acceso directo a la red local: sin recuperar dirección enmarcada : sin rangos de grupo de servidores de autenticación :
IP
IP
Rangos de grupo IPv6 del servidor de autenticación:
Rutas de acceso : 0.0.0.0/0 Excluir rutas de acceso : Servidores :

DNS
DNS Suffix : Servidores : Servidores : Server
DNS
WINS
SSL Cert : GPPortalGatewayCert Autenticación de cliente : Nombre de autenticación : panlab_GwClientAuth autenticación : Cualquier perfil de autenticación : panlabLDAP_authprof Permitir credenciales de usuario
Client
OS

OR Cert: yes
Client Cert Profile : Lifetime :
2592000 segundos
Tiempo de espera inactivo : 10800 segundos
Desconectar en inactivo : 10800 segundos
Desautorizar la restauración automática: sin
comprobación de origen : sin cifrado : IP
aes-128-cbc
Autenticación : sha1 admin@

PA- VM2 (activo)> mostrar puerta de enlace de usuario actual de puerta de enlace global-proteger-gateway panlab_Gateway admin@ VM2 (activo)> mostrar la puerta de enlace de usuario actual de puerta de enlace global-proteger
panlab_Gateway admin@ PA- VM2 (activo)> admin@ admin@ VM2 (activo)> <6> mostrar global-protect-gateway usuario actual-usuario jsmith
2019-09-15 11:15:49
GlobalProtect Puerta de enlace: panlab_Gateway (1 usuarios)
Nombre del túnel : panlab_Gateway- N
Dominio-Nombre de usuario : \jsmith
Computer : COMP- WIN7-2
Nombre de usuario principal           : jsmith
Region for Config          : KR
Source Region              : KR
Client                     : Microsoft Windows 7 Enterprise Edition Service Pack 1, 64-bit
VPN Type                   : Device Level VPN
Mobile ID :
Client OS : Windows
Private IP : 192.168.1.50
Private IPv6               : ::
Public IP (connected)      : 42.11.45.10
Public IPv6                : ::
Client IP : 42.11.45.10
ESP : exist
SSL : none
Login Time                 : Sep.15 11:07:18
Logout/Expiration          : Oct.15 11:07:18
TTL : 2591489
Inactivity TTL : 10302
Request - Login            : 2019-09-15 11:07:18.254 (1568570838254), 42.11.45.10
Request - GetConfig        : 2019-09-15 11:07:18.396 (1568570838396), 42.11.45.10
Request - SSLVPNCONNECT :  (0), ::

admin@ PA- VM2(active)> less mp-log rasmgr.log
2019-09-15 11:07:18.208 -0700 req->portal address 0x7fffdc096250
2019-09-15 11:07:18.251 -0700 192.168.1.50 is framed ip? no
2019-09-15 11:07:18.251 -0700 retrieve-framed-ip-address(no);  es preferido-ip-a-enmarcado-ip (no); retrieve-framed-ip-address-v6(no);  es preferido-ip-a-enmarcado-ipv6(no);
2019-09-15 11:07:18.252 -0700 req->portal address 0x7fffd8064ca0
2019-09-15 11:07:18.254 -0700 new cookie:  ******
2019-09-15 11:07:18.254 -0700 rasmgr_sslvpn_client_register space panlab_Gateway- N domain  user jsmith computer COMP- WIN7-2 result 0
2019-09-15 11:07:18.396 -0700 client existing address 42.11.45.10/24; preferred ip 192.168.1.50; address-v6 2002::/16,1234:1234:2d0a::1234:1234/128; preferred ipv6 None; client exclude video support yes; gw license no
2019-09-15 11:07:18.397 -0700 Adding info in usr info to haremoteusr info for:jsmith
2019-09-15 11:07:18.397 -0700 Installing GW Tunnel, indicate to keymgr... exclude_video_traffic_enable=0 [0 0]
2019-09-15 11:07:31.066 -0700 Adding info in usr info to haremoteusr info for:jsmith

admin@ PA- VM2(active)> less appweb-log sslvpn-access.log
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/prelogin.esp?kerberos-support=yes&tmp=tmp&clientVer=4100&host-id=433474f9-7a92-4f6f-9990-43731e8697fe&clientos=Windows&os-version=Microsoft+Windows+7+Enterprise+Edition+Service+Pack+1%2c+64-bit&ipv6-support=yes HTTP /1.1" 200 968
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/login.esp HTTP /1.1" 200 2840
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/getconfig.esp HTTP /1.1" 200 1809
42.11.45.1 - - [Sun Sep 15 11:07:31 2019 PDT ] " POST /ssl-vpn/hipreportcheck.esp HTTP /1.1" 200 561
127.0.0.1 - - [Sun Sep 15 11:08:06 2019 PDT ] " GET /robots.txt HTTP /1.1" 200 250

admin@ PA- VM2(active)> show global-protect-gateway flow
total GlobalProtect -Gateway tunnel shown:                     2
id    name                  local-i/f         local-ip                      tunnel-i/f
--    ----                  ---------         --------                      ----------
3     panlab_Gateway- N ethernet1/4       42.11.45.1                    tunnel.2

admin@ PA- VM2(active)> show global-protect-gateway flow name panlab_Gateway
2019-09-15 11:18:38
id : 3
tipo: GlobalProtect -Gateway
ip local: interfaz interna 42.11.45.1:
interfaz exterior tunnel.2: ethernet1/4
ssl cert: GPPortalGatewayCert
usuarios activos: 1
encapsulación remote-ip asignada MTU ----------------------------------------------------------------------------------------------------------------------

192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (contexto 619)

admin@ PA- VM2 (activo)> mostrar global-túnel de flujo de puerta de enlace de red-id 3
panlab_Gateway- N
id: 3
tipo: GlobalProtect -Gateway ip
local: 42.11.45.1
interfaz interna: interfaz exterior tunnel.2: ethernet1/4
ssl cert: GPPortalGatewayCert
usuarios activos: 1 1
encapsulación ip remota asignada ---------------------------------------------------------------------------------------------------------------------- MTU

192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (contexto 619)