GlobalProtect VPN 外部ルートを使用して設定する方法 CA

• Panorama
• 10.50.1.50

• Firewall
• 管理インターフェイス: 10.50.1.10
• 信頼されていないインターフェイス: 42.11.45.1/24
• DMZ インターフェイス: 172.16.45.1/24
• Web サーバー (背後 DMZ ): 172.16.45.50

• Windows Server 2012
• 172.16.45.50

• Windows 7 PC
• 192.168.45.10

• Windows Server 2012 に Active Directory がインストールされ、グループとユーザーが作成されて実行されていることを確認します。
• DNS次の IP アドレスとシステム(順方向と逆方向)の間で完全に動作していることを設定/検証します(つまり、nslookupが機能することを確認してください)。
• Windows 7 PC
• ウィンドウズ サーバー 2012
• PAN Firewall
• (つまり、Windows 7 PC は、ブラウザーの Outside インターフェイス アドレスを nslookup し、 の を解決できる必要があります IP PAN firewall FQDN firewall )

1. 証明書サービスを Windows Server 2012 にインストールする (つまり、Windows Server 2012 をルート CA にする)
2. CAWindows サーバー 2012 ルートからルート証明書をエクスポートします。 CA
3. 従業員の CA Windows/Mac PC にルート証明書をインストールする
4. にルート CA 証明書 firewall をインポート CSR firewall し、 で生成 CSR し、Windows Server 2012 ルートで署名 CA を取得し、 firewall
5. GlobalProtectで構成 Firewall し、 Policy VPN 外部から内部へのトラフィックを許可するようにセキュリティルールを構成する/DMZ
6. GlobalProtect Firewall 従業員の Windows/Mac PC に提供されるクライアント ソフトウェア イメージをダウンロード/アクティブ化します。
7. firewall GlobalProtect VPN 従業員の Windows/Mac PC でクライアント ソフトウェアをダウンロード、インストール、および接続する
8. トラブルシューティング/検証/デバッグ

1. [サーバー マネージャー]を開>[役割と機能の追加]をクリックします。

2. [ロールベース] をクリックし、[次へ] をクリックします。

3. Windowsサーバーを選択し、[次へ] をクリックします。

4. [Active Directory 証明書サービス] を選択し、[次へ] をクリックします。

5. [次へ] を 2 回クリックします。

6. [証明機関 Web 登録] を選択し、[次へ] を 2 回クリックします。

7. [次へ]をクリックします。

8. [ 必要に応じて、対象サーバーを自動的に再起動 する] チェックボックスをオンにし、[インストール] をクリックします 。

9. 上記のロード バーが完了したら、[移動先サーバーで Active Directory 証明書サービスの構成] をクリックします。

10. [次へ]をクリックします。

11. 証明機関と証明機関の Web 登録を確認し、[次へ] を 2 回クリックします。

12. ルートをCA選択し、[次へ]をクリックします。

13. [新しい秘密キーを作成する] を選択し、[次へ] をクリックします。

14. この Windows Server 2012 ルートが証明書の署名に使用するハッシュ アルゴリズムとしてSHA256を選択します CA (最新のブラウザーでは、SHA256 以下の警告が表示されます) - [次へ] をクリックします

15. メモ帳にこの情報を保存する - 次の手順まで [次へ ] をクリックします (確認画面)

16. [構成]をクリックします。

17. Web ブラウザーを起動し 、http://172.16.45.50/certsrv に移動 - Windows Server 2012 の管理者資格情報を入力します。

18. 今、Windowsサーバー2012はルートです CA . 今、それに提出されたCSRに署名することができます - Windows Server 2012は、署名 CSR された証明書を受け取り、その代わりに(つまり、証明書がルートであるWindows Server 2012によって署名されます CA )を返します)

1. [ CA 証明書、証明書チェーンのダウンロード]、または [証明書チェーンのダウンロード]CRLをクリックします。

2. [ CA 証明書のダウンロード] をクリックします。

3. 名前をルート CACertに変更する

1. Windows 7 クライアントに RootCACert ファイルを配置 PC し、証明書をインストールするダブルクリックします。

2. [次へ]をクリックします。

3. [証明書をすべて次のストアに配置する] を選択し、[参照] をクリックして[信頼されたルート証明機関] フォルダを選択します。

 

1. http://172.16.45.50/certsrvに移動し、[ CA 証明書、証明書チェーンのダウンロード]、または [証明書チェーンのダウンロードCRL] をクリックします。

2. [Base 64] を選択>[証明書のダウンロード] をクリックします  CA 。

3. 名前を ルート CA サートフに変更します。

4. [ Panorama Firewall デバイス>証明書の管理] >証明書に移動し、[インポート] をクリック>
5. ルート証明書の証明書名を入力します CA 。
6. ダウンロードした ルート CA サートフの 証明書を選択します
7. Base64 PEM エンコード証明書としてファイル形式を選択 ( )
8. [OK] をクリックします。

注: 中間ルート証明書がある場合 CA は、ルート証明書の下に今すぐインポート CA します

9. に移動 Panorama するか、[ Firewall デバイス > 証明書の管理 ] > 証明書 に移動し、[生成] をクリックします 。
10. 証明書の 証明書名 を GPPortalGatewayCert として入力します (このフィールドは後で重要です - 証明書名を覚えておいてください)
11. の外部アドレスとして 共通名 IP を入力します firewall (または DNS IP 、インターネット上の場合はアドレスの nslookup が参照する名前を任意に指定します)。
12. [外部機関 ( ) ] として [署名] オプション を選択 CSR します。
13. [ 追加 ] をクリックして SAN 証明書にフィールド ( ) を追加します - この IP / IP SAN フィールドは firewall 's と一致する必要 FQDN があり、 PC firewall GlobalProtect VPN クライアント経由でポータルとゲートウェイに接続するためには、従業員の 's と一致し、解決可能である必要があります
14. [生成]をクリックします。

 

 

15. のチェックボックスを選択 CSR し、[ 証明書のエクスポート ] をクリックします - 証明書が PC

 

16. Web ブラウザを起動して http://172.16.45.50/certsrv
17. [証明書の要求]をクリックします。

18. [証明書の要求の詳細設定] をクリックします。

19. メモ帳cert_GPPortalGatewayCert.csr開く - コピーし、次のようなフィールドに内容を貼り付けます:
20. 証明書テンプレートWeb サーバーの選択
21. [送信]をクリックします。

22. Base 64 エンコードを選択
23. [証明書のダウンロード] をクリックします。

注:この署名付き証明書をインポートする場合、上記の CSR Web で生成した (証明書名フィールド) とまったく同じ Firewall 名前を持つ UI 必要があります。

24. Panoramaもう一度開いて、[デバイス>証明書の管理>証明書] チェックボックス>既存のチェックボックスを CSR オンにして、[インポート] をクリックします。 
25. 証明書名を入力してください
26. [参照] をクリックし 、[GP ポータルゲートウェイサート] を選択します.cer
27. Base64 PEM エンコード証明書としてファイル形式を選択 ( )
28. [OK] をクリックします。

この時点で、 firewall はルート CA 証明書 RootCACertFWを持ち、 firewall その Firewall ルート証明書によって署名されたサーバー証明書 GPPortalGatewayCert を持ちます CA 。
 
この Firewall サーバー証明書は、クライアント PC が 経由で 接続するときにクライアント PC に提示される証明書です firewall GlobalProtect 。 クライアント PC は、 PC CA このドキュメントで前述した手順でルート証明書をインストールした手順に従ってこのルートも信頼するため CA PC




GlobalProtect Firewall 、 Policy VPN DMZ

1. デバイス>証明書管理SSL>/ TLS サービス プロファイルに移動し、署名されたサーバー証明書SSL TLS Firewall GPPortalGatewayCertを参照する / サービス プロファイルを作成します。

2. [デバイス>サーバー プロファイル] >>[ LDAP 追加] をクリックします。
3. プロファイル名を入力する
4. [ サーバーの一覧 ] > [ 追加 ] をクリックし IP 、Windows Active Directory ( LDAP サーバー ) のアドレスとポート 389 を入力します。 LDAP
5. [OK] をクリックします。

6. デバイス>認証プロファイルに移動>追加] をクリックします。 
7. 名前を入力 してください
8. タイプのLDAP選択
9. 上 に 作成されたサーバー プロファイル を選択します。
10. sAM アカウント 名としてログイン属性 を入力します。

11. [ 詳細設定 ] タブをクリック>[ 追加 ] をクリックして [すべて ] を追加するか、 GlobalProtect VPN 特定のグループへのアクセスを特定のグループのみに制限する場合は、特定 AD のグループを選択 LDAP します。

12. 使用するトンネル インターフェイスを作成 GlobalProtect VPN し、トンネル番号を指定する
13. 仮想ルータの選択
14. セキュリティゾーンの選択 - VPN トラフィックのセキュリティを作成する際の柔軟性が高いため、トラフィック用に別のセキュリティ ゾーンを作成することをお勧めします Policy 。 VPN
15. [OK] をクリックします。

16. [ネットワーク GlobalProtect >>ポータル] に移動>、[全般の追加] タブ>クリックします。
17. IPクライアントが接続するポータルとなるインターフェイスとアドレス GlobalProtect を選択 PC します。

18. [認証 ] タブから
19. 上記で作成した SSL TLS サービス プロファイルを 選択します。
20. [クライアント認証] の下の [追加 ] をクリックします。
21. 名前を入力 してください
22. 上記で作成した 認証プロファイル を選択します。
23. [はい](ユーザー資格情報 OR クライアント証明書が必要) を選択します。
24. [OK] をクリックします。

 

25. [エージェント] タブから
26. [エージェント] の下の [追加 ] をクリック します。
27. [ 認証 ] タブに名前を入力します 。

28. [外部ゲートウェイ] タブで [追加] をクリックします 。
29. 名前を入力 してください
30. FQDN Firewall このドキュメントの前半の [/SANホスト名] フィールドに入力されたのを入力します(GPPortalGatewayCert)

31. [アプリケーション] タブで、[ 接続方法] ドロップダウンを選択し、[ オンデマンド (手動でユーザーが開始した接続)] を選択します。

32. [OK] をクリックします。
33. [追加] をクリックして、ポータルの信頼されたルート CA の一覧にRootCACertFW ( Firewall このドキュメントの前半にインポート) を追加します。 GlobalProtect

注: 中間証明書がある場合 CA は、ルート証明書の下に追加 CA します。

34. [OK] をクリックします。
35. GlobalProtect ゲートウェイの構成から
36. 名前を入力 してください

37. /SSL TLS サービスプロファイルを選択
38. [クライアント認証] で[追加]をクリックします 。

39. 名前を入力 してください
40. 上記の手順で作成した 認証プロファイル を選択します。
41. [はい](ユーザー資格情報 OR クライアント証明書が必要) を選択します。

42. [OK] をクリックします。
43. GlobalProtectこのドキュメントの前のこの構成用に作成されたトンネル インターフェイスを選択します。
44. [IPSec を 有効にする] チェック ボックスをオンにします - GlobalProtect オーバー IPSec への接続に失敗した場合 Firewall は、次の SSL

45. [クライアント設定] タブで [追加] をクリックします 。

46. 名前を入力 してください

47. IPクライアントがエージェント経由で IP GlobalProtect PC IP 接続するときに、アダプタのアドレスとして受信するアドレスのプール GlobalProtect VPN PC を入力します。 GlobalProtect VPN

48. [OK] をクリックします。

1. /Web に移動 Panorama Firewall UI し、[ Panorama デバイス展開] タブ>移動>[GlobalProtectクライアント] をクリックします。
2. [ダウンロード] をクリック し、エンド ユーザーが使用するソフトウェアのバージョンを アクティブに GlobalProtect する をクリックします。 これは、 Firewall PC 使用するポータルページにアクセスしてダウンロードした場合に、クライアントに提供するバージョンでもあります Firewall GlobalProtect 。

 

 

1. エンドユーザーが https://fw1.panlab.com にアクセスし、資格情報を使用してログインするようにする

2. エンド ユーザーには、ダウンロードしてインストールするソフトウェアを選択できる画面が表示 GlobalProtect されます。

3. [接続]をクリックします。

4. エンド ユーザーに資格情報を入力し、[サインイン] をクリックします。

5. クライアント PC は、次の方法で企業ネットワークに正常に接続されました GlobalProtect VPN 。

6. クライアント PC は GlobalProtect VPN firewall インターネット経由で接続され、クライアントは、彼が PC DMZ firewall 'dである今、正常にインターフェイス/ゾーンの背後にあるWebサーバーに到達することができます VPN 。

• クライアントから PC
• エージェントから GlobalProtect
• から、 Firewall

1. エンド ユーザーが Outside PC インターフェイスにアクセスできること firewall FQDN 、および正しいアドレスに解決されることを確認します。 IP

2. GlobalProtectクライアントで開く PC >、>設定] で右上の 3 つから横のアイコン GlobalProtect をクリックします。

 

 

1. ログを収集>ログを収集>[トラブルシューティング]タブ>設定に移動 >し、PanGPA>開きます.log
2. 新しい GlobalProtect 5.0.4 ソフトウェアのダウンロードとインストールのログ:

1. システム ログの>ログ>監視に移動します。

admin@ PA-VM2(active)>グローバル保護ゲートウェイゲートウェイ名panlab_Gateway
GlobalProtectゲートウェイ: panlab_Gateway (1 ユーザー)
トンネルタイプ : リモートユーザ
トンネル名 : panlab_Gateway: N
VSYS vsys1 (id 1)
トンネル ID : 3 トンネル インタフェース :
トンネル
IPv6 :
encap インターフェイス : ethernet1/4
vr-id : 0
継承 : ローカル アドレス
(IPv4) : 42.. 11.45.1
SSL サーバー ポート : 443
IPSec Encap : はい
トンネル ネゴシエーション : ssl Redirect : no
HTTP Port
UDP : 4501
最大ユーザー数 : 0
最大ユーザー数 : 0 除外ビデオ トラフィック :
ゲートウェイ レベル IP のプール範囲:
ゲートウェイ レベルの IP
IPv6 プール範囲: 0 ゲートウェイ
レベル IPv6 プール範囲: 0
構成名 : panlab_GWClientSettings ユーザー グループ :
any;
OS                        : 任意;
IPプール範囲: 192.168.1.50 - 192.168.1.250(192.168.1.51);
IPプールインデックス : 0
IPv6 プール範囲 :
IPv6 プールインデックス : 0
ローカルネットワークへの直接アクセスなし:
フレーム IP 付きアドレスの取得なし :
認証サーバー IP プール範囲なし : Auth サーバー
IPv6 プール範囲:
アクセスルート : 0.0.0.0/0
除外アクセスルート :
DNS サーバー 接
DNS 尾辞 : サーバー :
DNS サーバー
WINS :
SSL サーバー証明書 : GPPortalGatewayCert クライアント認証 : 認証 panlab_GwClientAuth : 認証 :

OS 任意の認証 : 任意
の認証 : panlabLDAP_authprof
ユーザー資格情報 OR クライアント証明書を許可します: はい
クライアント証明書プロファイル :
ライフタイム : 2592000 秒
アイドルタイムアウト : 1 0800 秒
切断 アイドル時 : 10800 秒
自動復元を禁止
: ソース チェックなし : 暗号化なし : IP
aes-128-cbc
認証 : sha1 admin@

PA- VM2(アクティブ)>、グローバル保護ゲートウェイの現在のユーザー ゲートウェイ
panlab_Gateway admin@ PA- VM2( active)>グローバルプロテクトゲートウェイの現在のユーザーjsmith
2019-09-15 11:15:49
GlobalProtect ゲートウェイ: panlab_Gateway (1 ユーザー)
トンネル名 : panlab_Gateway - ドメイン N
ユーザー名 : \jsmith
コンピュータ : COMP- WIN7-2
プライマリ ユーザー名          : jsmith
Region for Config          : KR
Source Region              : KR
Client                     : Microsoft Windows 7 Enterprise Edition Service Pack 1, 64-bit
VPN Type                   : Device Level VPN
Mobile ID :
Client OS : Windows
Private IP : 192.168.1.50
Private IPv6               : ::
Public IP (connected)      : 42.11.45.10
Public IPv6                : ::
Client IP : 42.11.45.10
ESP : exist
SSL : none
Login Time                 : Sep.15 11:07:18
Logout/Expiration          : Oct.15 11:07:18
TTL : 2591489
Inactivity TTL : 10302
Request - Login            : 2019-09-15 11:07:18.254 (1568570838254), 42.11.45.10
Request - GetConfig        : 2019-09-15 11:07:18.396 (1568570838396), 42.11.45.10
Request - SSLVPNCONNECT :  (0), ::

admin@ PA- VM2(active)> less mp-log rasmgr.log
2019-09-15 11:07:18.208 -0700 req->portal address 0x7fffdc096250
2019-09-15 11:07:18.251 -0700 192.168.1.50 is framed ip? no
2019-09-15 11:07:18.251 -0700 retrieve-framed-ip-address(no); が優先される ip-a フレーム ip(いいえ)。取得フレーム ip アドレス v6(いいえ) が優先される ip-a フレーム-ipv6(いいえ)。
2019-09-15 11:07:18.252 -0700 req-252 -0700 req->ポータルアドレス 0x7fffd8064ca0
2019-09-15 11:07:18.28.25-0700 新しいクッキー:
*********2019-09-15 11:07:18.. 254 -0700 rasmgr_sslvpn_client_registerスペースpanlab_Gateway - N ドメインユーザーjsmithコンピュータ COMP- WIN7-2結果0
2019-09-15 11:07:18.396 -0700クライアント既存アドレス42.11.45.10/24;優先ip 192.168.1.50; アドレスv6 2002::/16,1234:1234:2d0a::1234:1234/128; 優先 ipv6 なし; クライアント除外ビデオサポートはい;gwライセンスいいえ
2019-09-15 11:07:18.397 -0700 sr infoに情報をハモネタの情報に追加する:jsmith
2019-09-15 11:07:18.397 -070 00 トンネル GW をインストールし、keymgr..exclude_video_traffic_enable=0 [0 0]
2019-09-15 11:07:31.066 -0700 Adding info in usr info to haremoteusr info for:jsmith

admin@ PA- VM2(active)> less appweb-log sslvpn-access.log
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/prelogin.esp?kerberos-support=yes&tmp=tmp&clientVer=4100&host-id=433474f9-7a92-4f6f-9990-43731e8697fe&clientos=Windows&os-version=Microsoft+Windows+7+Enterprise+Edition+Service+Pack+1%2c+64-bit&ipv6-support=yes HTTP /1.1" 200 968
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/login.esp HTTP /1.1" 200 2840
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/getconfig.esp HTTP /1.1" 200 1809
42.11.45.1 - - [Sun Sep 15 11:07:31 2019 PDT ] " POST /ssl-vpn/hipreportcheck.esp HTTP /1.1" 200 561
127.0.0.1 - - [Sun Sep 15 11:08:06 2019 PDT ] " GET /robots.txt HTTP /1.1" 200 250

admin@ PA- VM2(active)> show global-protect-gateway flow
total GlobalProtect -Gateway tunnel shown:                     2
id    name                  local-i/f         local-ip                      tunnel-i/f
--    ----                  ---------         --------                      ----------
3     panlab_Gateway- N ethernet1/4       42.11.45.1                    tunnel.2

admin@ PA- VM2(active)> show global-protect-gateway flow name panlab_Gateway
2019-09-15 11:18:38
id: 3
タイプ: GlobalProtect -ゲートウェイ
ローカル IP: 42.11.45.1
内部インターフェイス: tunnel.2 外部インターフェイス: ethernet1/4
ssl 証明書: GPPortalGatewayCert
アクティブ ユーザー: 1
割り当て ip リモート IP MTU カプセル化
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (コンテキスト 619)

admin@ PA- VM2(アクティブ)>グローバルプロテクトを示す ゲートウェイ フロー トンネル ID 3 トンネル
id 3 トンネル panlab_Gateway- N
ID: 3
タイプ: GlobalProtect -ゲートウェイ ローカル
IP: 42.11.45.1
内部インターフェイス: tunnel.2 外部インターフェイス: ethernet1/4
ssl 証明書: GPPortalGatewayCert
アクティブ ユーザー: 1
割り当て ip リモート IP MTU カプセル化 ----------------------------------------------------------------------------------------------------------------------

192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B (コンテキスト 619)