Comment configurer à GlobalProtect VPN l’aide d’une racine externe CA

• Panorama
• 10.50.1.50

• Firewall
• Interface de gestion: 10.50.1.10
• Interface de confiance: 42.11.45.1/24
• DMZ interface: 172.16.45.1/24
• Serveur Web DMZ (derrière): 172.16.45.50

• Windows Server 2012
• 172.16.45.50

• Windows 7 PC
• 192.168.45.10

• Vérifiez que windows server 2012 a installé et exécutant active directory avec des groupes et des utilisateurs créés sur elle.
• Configurer/vérifier qui DNS fonctionne pleinement entre les adresses et les systèmes suivants IP (avant et arrière) (c.-à-d. assurez-vous que le nslookup fonctionne) :
• Windows 7 PC
• Serveur Windows 2012
• PAN Firewall
• (c.-à-d. Windows 7 PC doit être en mesure de nslookup l’adresse d’interface extérieure de la et résoudre à la de IP PAN firewall FQDN firewall l’dans un navigateur)

1. Installer des services de certificat sur Windows Server 2012 (c’est-à-dire faire de Windows Server 2012 la CA racine)
2. Exporter le certificat CA root à partir de la racine Windows Server 2012 CA
3. Installer le certificat CA root sur les PC Windows/Mac des employés
4. Importer root CA certificate en , générer sur , obtenir signé par Windows Server firewall CSR firewall CSR 2012 Root CA , puis installer ce certificat signé sur le firewall
5. Configurer GlobalProtect sur la règle de sécurité et Firewall Policy configurer pour permettre le trafic de VPN l’extérieur à l’intérieur /DMZ
6. Télécharger /Activer GlobalProtect des images logicielles client qui Firewall serviront à l’employé Windows / Mac PC
7. Téléchargez, installez et connectez-vous au firewall logiciel client utilisant sur les PC GlobalProtect VPN Windows/Mac des employés
8. Dépannage/vérification/débogage

1. Open Server Manager > cliquez sur Ajouter des rôles et des fonctionnalités

2. Cliquez sur Fonction des rôle et cliquez sur Suivant

3. Sélectionnez le serveur Windows et cliquez sur Suivant

4. Sélectionnez Active Directory Certificate Services et cliquez sur Suivant

5. Cliquez ensuite deux fois

6. Sélectionnez Certification Authority Web Enrollment et cliquez deux fois sur Suivant

7. Cliquez ensuite

8. Vérifiez le redémarrage automatique du serveur de destination si nécessaire case à cocher et cliquez sur Installer

9. Une fois la barre de chargement terminée ci-dessus, cliquez sur Configurer les services de certificat d’annuaire actif sur le serveur de destination

10. Cliquez ensuite

11. Vérifiez l’inscription web de l’Autorité de certification et de l’Autorité de certification et cliquez deux fois sur Suivant

12. Sélectionnez Racine CA et cliquez sur Suivant

13. Sélectionnez Créer une nouvelle clé privée et cliquez sur Suivant

14. Sélectionnez SHA256 comme algorithme de hachage que cette racine Windows Server 2012 CA utilisera pour signer des certificats (la plupart des navigateurs modernes afficheront des avertissements pour tout ce qui se passe en dessous de SHA256) - cliquez sur Suivant

15. Enregistrez ces informations sur un bloc-notes - cliquez ensuite jusqu’à l’étape suivante (écran de confirmation)

16. Cliquez sur Configurer

17. Lancez un navigateur Web et passez à http://172.16.45.50/certsrv - tapez les informations d’identification de l’administrateur pour Windows Server 2012

18. Maintenant, le Serveur Windows 2012 est une racine CA . Maintenant, il peut signer les RSE qui lui sont soumis - Windows Server 2012 prendra le CSR et rendre un certificat signé en retour (c’est-à-dire que le certificat sera signé par Windows Server 2012 qui est la racine CA )

1. Cliquez sur Télécharger un CA certificat, une chaîne de certificats ou CRL

2. Cliquez sur Certificat de CA téléchargement

3. Renommez-le en RootCACert

1. Mettez le fichier RootCACert sur le client Windows 7 PC et double-cliquez pour installer le certificat :

2. Cliquez ensuite

3. Sélectionnez Placez tous les certificats dans le magasin suivant - cliquez sur Parcourir et sélectionnez le dossier Trusted Root Certification Authorities - cliquez sur Ok et Suivant et cliquez sur Terminer

 

1. Rendez-vous http://172.16.45.50/certsrv et cliquez sur Télécharger un CA certificat, une chaîne de certificats ouCRL

2. Sélectionnez Base 64 > cliquez sur Certificatde CA téléchargement 

3. Renommez-le en RootCACertFW

4. Allez à Panorama ou le et allez à Firewall l’appareil > certificat de gestion > certificats > cliquez sur Importation
5. Tapez un nom de certificat pour le certificat CA racine
6. Sélectionnez le certificat RootCACertFW que nous venons de télécharger
7. Sélectionnez le format de fichier comme certificat codé Base64 ( PEM )
8. Cliquez sur Ok

Note: Si vous avez un certificat racine CA intermédiaire, importez-le ici maintenant en vertu du certificat CA root

9. Allez à Panorama ou le et allez à Firewall l’appareil > certificat de gestion > certificats et cliquez sur Générer
10. Tapez le nom du certificat pour le certificat comme GPPortalGatewayCert (ce domaine sera important plus tard - rappelez-vous le nom du certificat)
11. Tapez le nom commun comme l’adresse extérieure de la (ou quel que soit le nom qui adresse IP firewall DNS IP nslookup à si sur Internet)
12. Sélectionnez l’option Signée par option comme « Autorité externe » CSR
13. Cliquez sur Ajouter pour ajouter un champ ( ) au certificat - ce / champ doit correspondre à la SAN IP IP SAN firewall « s et FQDN doit être resoluble par PC l’employé afin de se connecter au firewall portail et la passerelle via le GlobalProtect VPN client
14. Cliquez sur Générer

 

 

15. Sélectionnez la case à cocher pour CSR le certificat d’exportation et cliquez - le certificat sera téléchargé sur le PC

 

16. Lancez un navigateur Web et allez à http://172.16.45.50/certsrv
17. Cliquez sur Demander un certificat

18. Cliquez sur Demande de certificat avancé

19. Ouvrez cert_GPPortalGatewayCert.csr à l’aide de Bloc-notes - copier et coller le contenu dans le champ comme ci-dessous:
20. Sélectionnez Certificate Template Web Server
21. Cliquez sur Soumettre

22. Sélectionnez Base 64 codée
23. Cliquez sur Certificat de téléchargement

Note: Lors de l’importation de cert signé, il doit avoir exactement le même nom que CSR le(champ nom de certificat) que nous avons généré dans Firewall le Web UI ci-dessus, c’est-à-dire qu’il doit être nommé GPPortalGatewayCert

24. Ouvrez Panorama à nouveau et allez à Device > Certificate Management > Certificates > case à cocher l’existant CSR et cliquez sur Importation 
25. Tapez le nom du certificat
26. Cliquez sur Parcourir et sélectionnez GPPortalGatewayCert.cer
27. Sélectionnez le format de fichier comme certificat codé Base64 ( PEM )
28. Cliquez sur Ok

À ce stade, le firewall a un root certificate CA RootCACertFW, et firewall le dispose Firewall d’un certificat serveur GPPortalGatewayCert qui est signé par ce certificat CA racine.
 
Ce Firewall certificat serveur est le certificat qui sera présenté aux PC clients lorsqu’ils se connecteront à l’via firewall GlobalProtect . Les PC clients feront confiance à ce certificat parce que le client fait PC également confiance à cette racine en raison de l’étape que nous avons fait plus tôt dans ce CA document où nous avons installé le certificat racine CA sur le client Windows 7 Configurer sur la règle de sécurité et PC




GlobalProtect Firewall configurer Policy pour permettre le trafic VPN de l’extérieur à l’intérieur /DMZ

1. Rendez-vous sur Device > Certificate Management > / Profil SSLde TLS service et créez SSLun / Profil de TLS service faisant référence au Firewall certificat serveur signé GPPortalGatewayCert, que nous avons signé et importé dans l’étape ci-dessus:

2. Aller à Device > Server Profiles > > cliquez sur LDAP Ajouter
3. Tapez un nom de profil
4. Sous liste de > cliquez sur Ajouter et taper IP l’adresse du Répertoire Actif Windows LDAP (serveur) et du port 389 pour LDAP
5. Cliquez sur Ok

6. Accédez au profil d’authentification >'> pour cliquer sur Ajouter 
7. Tapez un nom
8. Sélectionnez Type LDAP
9. Sélectionnez Profil serveur créé ci-dessus panlabDCldapserverprof
10. Type Login Attribut comme sAMAccountName

11. Cliquez sur onglet avancé > cliquez sur Ajouter et ajouter « tous » ou sélectionnez certains groupes si cela doit restreindre GlobalProtect VPN l’accès à certains / groupes AD LDAP seulement

12. Créez une interface tunnel à utiliser et GlobalProtect VPN donnez-lui un numéro de tunnel
13. Sélectionnez le routeur virtuel
14. Sélectionnez une zone de sécurité - il est recommandé de créer une zone de sécurité distincte pour le trafic car elle donne plus de flexibilité dans la création de sécurité pour le VPN Policy VPN trafic
15. Cliquez sur Ok

16. Aller à Network > GlobalProtect > Portals > cliquez sur Ajouter > onglet Général
17. Sélectionnez IP l’interface et l’adresse qui doivent GlobalProtect être le portail auquel le Client se PC connectera

18. De l’onglet Authentification
19. Sélectionnez le SSL/ Profil de service TLS créé ci-dessus
20. Cliquez sur Ajouter sous l’authentification client
21. Tapez un nom
22. Sélectionnez le profil d’authentification que nous avons fait ci-dessus
23. Sélectionnez Oui (Certificat client des informations OR d’identification utilisateur requis)
24. Cliquez sur Ok

 

25. De l’onglet Agent
26. Cliquez sur Ajouter sous Agent
27. Sous l’onglet Authentification tapez un nom

28. Sous l’onglet Passerelles externes cliquez sur Ajouter
29. Tapez un nom
30. Entrez FQDN le de ce qui a été mis dans le domaine du certificat / Nom de Firewall SANl’hôte plus tôt dans ce document (dans GPPortalGatewayCert)

31. Sous l’onglet App, sélectionnez Connect Method drop-down et sélectionnez On-demand (Connexion manuelle initiée par l’utilisateur)

32. Cliquez sur Ok
33. Cliquez sur Ajouter pour ajouter RootCACertFW (importé dans le plus tôt dans ce Firewall document) à la liste des CA racine de confiance pour le GlobalProtect portail

Note: Si vous avez un certificat CA intermédiaire, ajoutez-le ici en dessous du certificat CA root

34. Cliquez sur Ok
35. À partir de Configure GlobalProtect Gateway
36. Tapez un nom

37. Sélectionnez un SSL/ TLS Profil de service
38. Sous Authentification client, cliquez sur Ajouter

39. Tapez un nom
40. Sélectionnez le profil d’authentification créé plus tôt dans l’étape ci-dessus
41. Sélectionnez Oui (Certificat client des informations OR d’identification utilisateur requis)

42. Cliquez sur Ok
43. Sélectionnez l’interface tunnel créée pour cette GlobalProtect configuration plus tôt dans ce document
44. Sélectionnez la case à cocher 'Enable IPSec' - GlobalProtect si elle ne se Firewall connecte pas à l’IPSec sur, elle SSL

45. Sous l’onglet Paramètres clients cliquez sur Ajouter

46. Tapez un nom

47. Tapez un pool IP d’adresses qui seront les adresses que le Client recevra en IP GlobalProtect tant PC IP qu’adresse sur son GlobalProtect VPN adaptateur lorsqu’il se PC connecte via GlobalProtect VPN l’agent

48. Cliquez sur Ok

1. Allez sur Panorama / Web et allez à Firewall UI Panorama l’onglet > déploiement de l'> cliquez sur GlobalProtect Client
2. Cliquez sur Télécharger et cliquez activer sur n’importe quelle version du logiciel que les GlobalProtect utilisateurs finaux utiliseront. Ce sera également la version que le Firewall donne au client PC s’ils vont à la page portail de la Firewall et télécharger pour une GlobalProtect utilisation.

 

 

1. Que l’utilisateur final aille au https://fw1.panlab.com et se connecte à l’aide de ses informations d’identification

2. L’utilisateur final verra un écran comme celui-ci où ils peuvent choisir GlobalProtect quel logiciel ils aimeraient télécharger et installer:

3. Cliquez sur Connect

4. Que l’utilisateur final tape ses informations d’identification et clique sur Connexion

5. Le Client est PC désormais connecté avec succès au réseau d’entreprise via GlobalProtect VPN :

6. Le client PC est connecté via GlobalProtect VPN firewall internet, et le Client peut atteindre PC un serveur Web derrière DMZ l’interface / zone de la firewall avec succès maintenant qu’il VPN est 'd:

• Du client PC
• De GlobalProtect l’agent
• Depuis le Firewall

1. Assurez-vous que l’utilisateur PC final peut atteindre firewall l’interface extérieure par son FQDN - et qu’il se résout à la bonne IP adresse

2. Ouvrez GlobalProtect sur le client > cliquez sur PC l’icône trois barres en haut à droite > cliquez sur GlobalProtect Paramètres

 

 

1. Passez à l’onglet Paramètres > dépannage > collecter les journaux > les dézip et ouvrez > PanGPA.log
2. Journaux du nouveau logiciel GlobalProtect 5.0.4 téléchargement et installation :

1. Aller à Monitor > Journaux > journaux système

admin@ PA- VM2(active)> afficher le nom de passerelle global-protect-gateway panlab_Gateway
GlobalProtect Gateway: panlab_Gateway (1 utilisateurs)
Tunnel Type : tunnel utilisateur distant Tunnel Nom :
panlab_Gateway- : N
VSYS vsys1 (id 1)
Tunnel : ID 3 Interface tunnel :
tunnel.2
Tunnel IPv6 Activé :
pas d’interface Encap : ethernet1/4
vr-id : 0
Héritage de : Adresse locale
(IPv4) : 42.11.45.1
SSL Port serveur : 443
IPSec Encap : oui
Tunnel Negotiation : ssl
HTTP Redirect : no Port
UDP : 4501
Max Users : 0 Exclusion Video Traffic :
no
Gateway-Level IP Pool Ranges:
Gateway-Level IP Pool index: 0
Gateway-Level IPv6 Pool Ranges:
Gateway-Level IPv6 Pool index: 0
nom config : panlab_GWClientSettings Users Groups :
any;
OS                         : n’importe quel;
IP Gammes de piscine : 192.168.1.50 - 192.168.1.250 (192.168.1.51);
IP Indice de pool : 0
gammes de piscine iPv6 :
indice de pool IPv6 : 0
Pas d’accès direct au réseau local : pas
d’adresse encadrée de récupération : IP pas de plages de pool serveur
IP Auth : Plages de pool
IPv6 d’Auth Server :
Itinéraires d’accès : 0,0,0/0
Exclure les itinéraires d’accès :
DNS Serveurs :
DNS Suffixe : Serveurs :
DNS Serveurs :
WINS Server
SSL Cert : GPPortalGatewayCert Client
Auth Authentication : Auth Name : panlab_GwClientAuth
Auth : Any OS
Auth Profile : panlabLDAP_authprof Allow
User Credentials OR Client Cert: yes
Client Cert Profile : Lifetime :
2592000 seconds
Idle Timeout : 10800 secondes
Disconnect On Idle : 10800 secondes
Disallow Automatic Restoration: no
Source Check : no Encryption : IP
aes-128-cbc
Authentification : sha1

admin@ PA- VM2 (active)> show global-protect-gateway current-user gateway panlab_Gateway
admin@ PA- VM2 (active). > afficher global-protect-gateway utilisateur courant jsmith
2019-09-15 11:15:49
GlobalProtect Passerelle: panlab_Gateway (1 utilisateurs)
Nom du tunnel : panlab_Gateway- Nom N
d’utilisateur de domaine : \jsmith
Computer : COMP- WIN7-2
Nom d’utilisateur principal           : jsmith
Region for Config          : KR
Source Region              : KR
Client                     : Microsoft Windows 7 Enterprise Edition Service Pack 1, 64-bit
VPN Type                   : Device Level VPN
Mobile ID :
Client OS : Windows
Private IP : 192.168.1.50
Private IPv6               : ::
Public IP (connected)      : 42.11.45.10
Public IPv6                : ::
Client IP : 42.11.45.10
ESP : exist
SSL : none
Login Time                 : Sep.15 11:07:18
Logout/Expiration          : Oct.15 11:07:18
TTL : 2591489
Inactivity TTL : 10302
Request - Login            : 2019-09-15 11:07:18.254 (1568570838254), 42.11.45.10
Request - GetConfig        : 2019-09-15 11:07:18.396 (1568570838396), 42.11.45.10
Request - SSLVPNCONNECT :  (0), ::

admin@ PA- VM2(active)> less mp-log rasmgr.log
2019-09-15 11:07:18.208 -0700 req->portal address 0x7fffdc096250
2019-09-15 11:07:18.251 -0700 192.168.1.50 is framed ip? no
2019-09-15 11:07:18.251 -0700 retrieve-framed-ip-address(no);  is-preferred-ip-a-framed-ip(no); récupérer-encadré-ip-adresse-v6(no);  is-preferred-ip-a-framed-ipv6(no);
2019-09-15 11:07:18.252 -0700 req->portal address 0x7fffd8064ca0
2019-09-15 11:07:18.254 -0700 new cookie:  ******
2019-09-15 11:07:18.254 -0700 rasmgr_sslvpn_client_register space panlab_Gateway- N domain  user jsmith computer COMP- WIN7-2 result 0
2019-09-15 11:07:18.396 -0700 client existing address 42.11.45.10/24; preferred ip 192.168.1.50; address-v6 2002::/16,1234:1234:2d0a::1234:1234/128; preferred ipv6 None; client exclude video support yes; gw license no
2019-09-15 11:07:18.397 -0700 Adding info in usr info to haremoteusr info for:jsmith
2019-09-15 11:07:18.397 -0700 Installing GW Tunnel, indicate to keymgr... exclude_video_traffic_enable=0 [0 0]
2019-09-15 11:07:31.066 -0700 Adding info in usr info to haremoteusr info for:jsmith

admin@ PA- VM2(active)> less appweb-log sslvpn-access.log
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/prelogin.esp?kerberos-support=yes&tmp=tmp&clientVer=4100&host-id=433474f9-7a92-4f6f-9990-43731e8697fe&clientos=Windows&os-version=Microsoft+Windows+7+Enterprise+Edition+Service+Pack+1%2c+64-bit&ipv6-support=yes HTTP /1.1" 200 968
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/login.esp HTTP /1.1" 200 2840
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/getconfig.esp HTTP /1.1" 200 1809
42.11.45.1 - - [Sun Sep 15 11:07:31 2019 PDT ] " POST /ssl-vpn/hipreportcheck.esp HTTP /1.1" 200 561
127.0.0.1 - - [Sun Sep 15 11:08:06 2019 PDT ] " GET /robots.txt HTTP /1.1" 200 250

admin@ PA- VM2(active)> show global-protect-gateway flow
total GlobalProtect -Gateway tunnel shown:                     2
id    name                  local-i/f         local-ip                      tunnel-i/f
--    ----                  ---------         --------                      ----------
3     panlab_Gateway- N ethernet1/4       42.11.45.1                    tunnel.2

admin@ PA- VM2(active)> show global-protect-gateway flow name panlab_Gateway
2019-09-15 11:18:38
id : 3
type: GlobalProtect -Passerelle
ip locale: 42.11.45.1
interface intérieure: tunnel.2 interface externe: ethernet1/4
ssl cert: GPPortalGatewayCert
utilisateurs actifs: 1
assigned-ip remote-ip MTU encapsulation
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (contexte 619)

admin@ PA- VM2 (actif)> montrent global--protect-gateway flow tunnel-id 3
tunnel panlab_Gateway- N
id: 3
type: GlobalProtect -Gateway local
ip: 42.11.45.1
interface intérieure: tunnel.2 interface extérieure: ethernet1/4
ssl cert: GPPortalGatewayCert
utilisateurs actifs: 1
assignation ip remote-ip MTU encapsulation
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (contexte 619)