如何 GlobalProtect VPN 使用外部根进行配置 CA

• Panorama
• 10.50.1.50

• Firewall
• 管理界面： 10.50.1.10
• 不信任界面： 42.11.45.1/24
• DMZ 接口： 172.16.45.1/24
• 网络服务器 （后面 DMZ ）： 172.16.45.50

• Windows 服务器 2012
• 172.16.45.50

• Windows 7 PC
• 192.168.45.10

• 验证 Windows 服务器 2012 已安装活动目录并与上面创建的组和用户一起运行。
• 配置/验证 DNS 在以下 IP 地址和系统之间完全工作（前向和向后）（即确保 nsookup 工作）：
• Windows 7 PC
• 视窗服务器 2012
• PAN Firewall
• （即 Windows 7 PC 必须能够检查 IP 浏览器中的外部界面地址 PAN firewall 并解决到 FQDN firewall 浏览器中的接口地址）

1. 2012 年 Windows 服务器上安装证书服务 （即使 Windows 服务器 2012 成为根 CA ）
2. CA从 Windows 服务器 2012 根导出根证书 CA
3. 在 CA 员工视窗/Mac PC 上安装根证书
4. 导 CA 入根证书到 firewall ， CSR 生成 firewall ， CSR 由Windows服务器2012根签名 CA ，然后安装该签名证书上的 firewall
5. 在 GlobalProtect 安全规则上进行配置 Firewall 和配置 Policy ，以便 VPN 从外部到内部/DMZ
6. 下载/激活 GlobalProtect 将 Firewall 服务于员工 Windows/Mac PC 的客户端软件图像
7. 下载、安装和连接到 firewall GlobalProtect VPN 员工 Windows/Mac PC 上的使用客户端软件
8. 故障排除/验证/诊断

1. 打开 服务器管理器 >单击 "添加"角色和功能

2. 单击 基于角色的 单击，然后单击 "下一步"

3. 选择 视窗服务器 并单击 "下一步"

4. 选择 活动目录证书服务 并单击 下一个

5. 单击 "下一个" 两次

6. 选择 认证机构网络注册 并单击 下一个 两次

7. 单击 下一步

8. 如果需要，请自动检查重新启动目标服务器，然后单击"安装"

9. 完成上述加载栏后，单击 目的地服务器上的"配置活动目录证书服务"

10. 单击 下一步

11. 检查 认证机构 和 认证机构网络注册 并单击 下一次 两次

12. 选择 根 CA 并单击 下一个

13. 选择 创建新的私钥 并单击 "下一步"

14. 选择 SHA256 作为此Windows服务器2012根 CA 将用于签署证书的哈希算法（大多数现代浏览器将显示任何低于SHA256的警告） - 单击 下一页

15. 将此信息保存到记事本 - 单击 下一步 直到下一步（确认屏幕）

16. 单击 配置

17. 启动 Web 浏览器并 转到http://172.16.45.50/certsrv - 键入 2012 年 Windows 服务器管理员凭据

18. 现在的Windows服务器2012年是一个根 CA 。 现在，它可以签署提交给它的CSR-Windows服务器2012年将采取 CSR 并回馈签名证书作为回报（即该证书将由Windows服务器2012这是根 CA 签署）

1. 单击 "下载 CA "证书、证书链或 CRL

2. 单击 下载 CA 证书

3. 将其重命名为 根卡塞特

1. 将 RootCACert 文件放在 Windows 7 客户端上 PC ，然后双击以安装证书：

2. 单击 下一步

3. 选择 在以下商店中放置所有证书 - 单击 "浏览 "并选择 "受信任的根认证机构 "文件夹 - 单击 "确定 "和 "下一步" 并单击"完成"

 

1. 转到 http://172.16.45.50/certsrv 并单击 "下载 CA 证书"、证书链或 CRL

2. 选择 基础 64 >单击 下载 CA 证书

3. 将其重命名为 根卡斯特夫

4. 转到 Panorama 或 Firewall 转到 设备 > 证书管理 > 证书 >单击 "导入"
5. 为根证书键入证书名称 CA
6. 选择我们刚刚下载的 根卡斯特夫 证书
7. 选择文件格式作为 基础64编码证书 （ PEM ）
8. 单击 "确定"

注意：如果您有中间根 CA 证书，现在根据根证书在这里导入 CA

9. 转到 Panorama 或 Firewall 转到 设备 > 证书管理 > 证书 ，然后单击 "生成"
10. 将 证书的证书名称 键入为 GPPortal 盖特威证书 （此字段以后很重要 - 记住 证书名称）
11. 键入 共同名称 作为外部 IP 地址 firewall 的（或任何 DNS 名称， IP 地址nsookup的，如果在互联网上）
12. 选择 通过选项签名 为 "外部授权 （ CSR ）
13. 单击 "添加 " SAN IP 以向证书添加字段（）-此 IP/ SAN 字段必须与 firewall "字段"匹配 FQDN ，并且必须由员工的字段解决， PC 以便 firewall 通过 GlobalProtect 客户端连接到"门户"和"网关 VPN "
14. 单击 "生成"

 

 

15. 选择"出口证书"的复选框 CSR 并单击 "出口证书 " - 证书将下载到 PC

 

16. 启动网络浏览器并转到 http://172.16.45.50/certsrv
17. 单 击"请求证书"

18. 单击 高级证书请求

19. 使用记事本打开cert_GPPortalGatewayCert.csr - 复制并将内容粘贴到以下字段中：
20. 选择证书模板 Web 服务器
21. 单击 提交

22. 选择 基础 64 编码
23. 单击 下载证书

注意： 在导入此签名证书时，它必须与我们在上面的 Web CSR 中生成的（证书名称 字段）完全相同， Firewall UI 即必须将其命名为 GPPortalGateway 证书

24. Panorama再次打开并转到设备>证书管理>证书>复选框现有 CSR 和单击导入 
25. 键入证书名称
26. 单击"浏览"并选择 GP 波特盖特通道认证.cer
27. 选择 文件格式 作为 基础64编码证书 （ PEM ）
28. 单击 "确定"

此时， firewall 有根 CA 证书 根证书，并 firewall 有 Firewall 一个服务器证书 GPPortal 通道证书 ，这是由该根 CA 证书签名。
 
此 Firewall 服务器证书是当客户端 PC 连接到时将提交给客户端 PC 的证书 firewall GlobalProtect 。 客户端 PC 将信任此证书，因为客户 PC 端也信任此 CA Root，因为我们在本文档中较早时在 Windows CA 7 客户端配置上安装了根证书 PC




GlobalProtect Firewall ，并配置了安全 Policy 规则，允许 VPN 从外部到内部/DMZ

1. 转到设备>证书管理SSL>/ TLS 服务配置文件，并创建引用已签署的服务器证书 GPPortalGatewayCert 的SSL/ TLS 服务配置文件 Firewall ，我们在上述步骤中已签署并导入该配置文件：

2. 转到 设备 > 服务器配置文件 LDAP >>单击 "添加"
3. 键入 个人资料名称
4. 在 服务器列表 下>单击 "添加 并键入 IP Windows 活动目录（ LDAP 服务器）"和端口 389 的地址 LDAP
5. 单击 "确定"

6. 导航到 设备 > 身份验证配置文件 >单击 "添加" 
7. 键入 名称
8. 选择 类型 LDAP
9. 选择在潘拉布德普服务器prof上创建的服务器配置文件
10. 将 登录属性 键入为 sAM 帐户名

11. 单击 高级 选项卡>单击 "添加 "并添加 "全部" 或选择某些组（如果 GlobalProtect VPN 仅应限制访问某些 AD / LDAP 组）

12. 创建一个隧道接口，供 GlobalProtect VPN 其使用，并给它一个隧道号码
13. 选择虚拟路由器
14. 选择安全区- 建议创建单独的交通安全区 VPN ，因为它在 Policy 为流量创建安全方面提供了更大的灵活性 VPN
15. 单击 "确定"

16. 转到 "网络 GlobalProtect >> 门户"> 单击 "添加 >一般 "选项卡
17. 选择哪个界面和 IP 地址是 GlobalProtect 客户 PC 端将连接到的门户

18. 从身份验证 选项卡
19. 选择上面创建的SSL/ TLS 服务配置文件
20. 单击客户端身份验证下的添加
21. 键入 名称
22. 选择我们上面制作的身份验证配置文件
23. 选择 "是"（需要用户凭据 OR 客户端证书）
24. 单击 "确定"

 

25. 从代理 选项卡
26. 单击"代理下添加"
27. 在 身份验证 选项卡下键入 名称

28. 在外部网关选项卡下单击 "添加"
29. 键入 名称
30. 在 FQDN Firewall 本文档的早期输入证书 SAN/主机名称字段 （在 GPPortal 盖特韦证书中）

31. 在应用选项卡下，选择 连接方法 下拉并选择 按需选择（手动用户启动连接）

32. 单击 "确定"
33. 单击"添加"以将RootCAcertFW（导入 Firewall 本文档的前面）添加到门户的可信根 CA 列表中 GlobalProtect

注意：如果您有中间 CA 证书，在根证书下面添加 CA

34. 单击 "确定"
35. 从配置 GlobalProtect 网关
36. 键入 名称

37. 选择 SSL/ TLS 服务配置文件
38. 在客户身份验证下，单击 "添加"

39. 键入 名称
40. 选择上一步中较早创建的身份验证配置文件
41. 选择 "是"（需要用户凭据 OR 客户端证书）

42. 单击 "确定"
43. 选择 GlobalProtect 本文档中较早为此配置创建的隧道界面
44. 选择复选框 "启用 IPSec" - 如果 GlobalProtect 无法连接到 Firewall 过 IPSec，它将回落到 SSL

45. 在客户端设置选项卡下单击 "添加"

46. 键入 名称

47. 键入一组 IP 地址，这些地址将是 IP GlobalProtect 客户 PC 端 IP GlobalProtect VPN PC 通过 GlobalProtect VPN 代理连接时在其适配器上作为地址接收的地址

48. 单击 "确定"

1. 转到 Panorama Firewall /Web UI 并转到 Panorama "设备部署 >"选项卡>单击 GlobalProtect "客户端"
2. 单击"下载 "并单击 "激活 GlobalProtect "最终用户将使用的任何版本的软件。 这也是 Firewall 给客户端 PC 的版本，如果他们去门户页面 Firewall 和下载 GlobalProtect 使用。

 

 

1. 让最终用户使用其凭据 转到https://fw1.panlab.com 并登录

2. 最终用户将看到这样的屏幕，他们可以选择 GlobalProtect 要下载和安装的软件：

3. 单击 连接

4. 让最终用户键入其凭据并单击 登录

5. 客户 PC 现在通过 GlobalProtect VPN ：

6. 客户端 PC 通过互联网连接到 GlobalProtect VPN firewall ，客户端 PC 可以 DMZ 到达成功界面/区域后面的 Web 服务器 firewall ，现在他是 VPN 'd：

• 来自客户端 PC
• 从 GlobalProtect 代理
• 从 Firewall

1. 确保最终用户 PC 可以通过 firewall 其外部界面到达其 FQDN - 并且它解决到正确的 IP 地址

2. 打开 GlobalProtect 客户端 PC >单击 右上角的三杆 图标 GlobalProtect >单击 "设置"

 

 

1. 转到"设置 > 故障排除 选项卡> 收集日志 >解> 并打开> PanGPA.log
2. 新 GlobalProtect 5.0.4 软件下载和安装的日志：

1. 转到 监视器 > 日志 >系统日志

admin@ PA-VM2（活动）>显示全球保护网关名称panlab_Gateway
GlobalProtect网关：panlab_Gateway（1用户）
隧道类型：远程用户
隧道名称：panlab_Gateway-：vsys1（id N
VSYS 1）
隧道 ID ：3
隧道接口：隧道2
隧道IPv6启用：无
封装界面：以太网1/4
vr-id：0
继承自：
本地地址（IPv4）： 42.11.45.1
SSL 服务器端口 ： 443
IPSec 封装： 是
隧道谈判 ： ssl
HTTP 重定向： 无
UDP 端口 ： 4501
最大用户 ： 0
排除视频流量： 无
网关级 IP 池范围：
IP 网关级
IPv6 池范围：
网关级 IPv6 池范围： 0
配置名称： panlab_GWClientSettings
用户群： 任何：
OS                        ：任何：
IP池范围： 192.168.1.50 - 192.168.1.250 （192.168.1.51）：
IP池索引： 0
IPv6 池范围 ：
IPv6 池索引 ： 0
无直接访问本地网络： 无
检索框架 IP 地址： 无
Auth 服务器 IP 池范围：
Auth 服务器 IPv6 池范围：
访问路线： 0.0.0/0
排除访问路由：
DNS 服务器 ：
DNS Suff 服务器
DNS ： 服务器
WINS ：
SSL 服务器证书 ： GPPortalGatewayCert
客户端身份验证 ： auth 名称 ： panlab_GwClientAuth
身份 OS 验证： 任何
身份验证配置文件： panlabLDAP_authprof
允许用户凭据 OR 客户端证书： 是
客户端证书配置文件 ：
终身 ： 2592000 秒
空闲超时 ： 10800
空闲时的秒断开：10800 秒
不允许自动恢复：无
源 IP 检查：无
加密：aes-128-cbc
身份验证：sha1

admin@ PA- VM2（活动）>显示全球保护网关当前用户网关
panlab_Gateway admin@ PA- VM2（活动） >显示全球保护网关当前用户 jsmith
2019-09-15 11：15：49
GlobalProtect 网关： panlab_Gateway （1 用户）
隧道名称： panlab_Gateway N
域名 - 用户名 ： -jsmith
计算机 ： COMP- WIN7-2
主用户名          : jsmith
Region for Config          : KR
Source Region              : KR
Client                     : Microsoft Windows 7 Enterprise Edition Service Pack 1, 64-bit
VPN Type                   : Device Level VPN
Mobile ID :
Client OS : Windows
Private IP : 192.168.1.50
Private IPv6               : ::
Public IP (connected)      : 42.11.45.10
Public IPv6                : ::
Client IP : 42.11.45.10
ESP : exist
SSL : none
Login Time                 : Sep.15 11:07:18
Logout/Expiration          : Oct.15 11:07:18
TTL : 2591489
Inactivity TTL : 10302
Request - Login            : 2019-09-15 11:07:18.254 (1568570838254), 42.11.45.10
Request - GetConfig        : 2019-09-15 11:07:18.396 (1568570838396), 42.11.45.10
Request - SSLVPNCONNECT :  (0), ::

admin@ PA- VM2(active)> less mp-log rasmgr.log
2019-09-15 11:07:18.208 -0700 req->portal address 0x7fffdc096250
2019-09-15 11:07:18.251 -0700 192.168.1.50 is framed ip? no
2019-09-15 11:07:18.251 -0700 retrieve-framed-ip-address(no); 是首选的 - ip - 一帧 - ip （否）：检索框架 ip 地址 - v6 （否）： 是首选的 - ip - a 框架 - ipv6 （否）：
2019-09-15 11:07:18.252 -0700 req->portal address 0x7fffd8064ca0
2019-09-15 11:07:18.254 -0700 new cookie:  ******
2019-09-15 11:07:18.254 -0700 rasmgr_sslvpn_client_register space panlab_Gateway- N domain  user jsmith computer COMP- WIN7-2 result 0
2019-09-15 11:07:18.396 -0700 client existing address 42.11.45.10/24; preferred ip 192.168.1.50; address-v6 2002::/16,1234:1234:2d0a::1234:1234/128; preferred ipv6 None; client exclude video support yes; gw license no
2019-09-15 11:07:18.397 -0700 Adding info in usr info to haremoteusr info for:jsmith
2019-09-15 11:07:18.397 -0700 Installing GW Tunnel, indicate to keymgr...exclude_video_traffic_enable=0 [0 0]
2019-09-15 11:07:31.066 -0700 Adding info in usr info to haremoteusr info for:jsmith

admin@ PA- VM2(active)> less appweb-log sslvpn-access.log
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/prelogin.esp?kerberos-support=yes&tmp=tmp&clientVer=4100&host-id=433474f9-7a92-4f6f-9990-43731e8697fe&clientos=Windows&os-version=Microsoft+Windows+7+Enterprise+Edition+Service+Pack+1%2c+64-bit&ipv6-support=yes HTTP /1.1" 200 968
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/login.esp HTTP /1.1" 200 2840
42.11.45.1 - - [Sun Sep 15 11:07:18 2019 PDT ] " POST /ssl-vpn/getconfig.esp HTTP /1.1" 200 1809
42.11.45.1 - - [Sun Sep 15 11:07:31 2019 PDT ] " POST /ssl-vpn/hipreportcheck.esp HTTP /1.1" 200 561
127.0.0.1 - - [Sun Sep 15 11:08:06 2019 PDT ] " GET /robots.txt HTTP /1.1" 200 250

admin@ PA- VM2(active)> show global-protect-gateway flow
total GlobalProtect -Gateway tunnel shown:                     2
id    name                  local-i/f         local-ip                      tunnel-i/f
--    ----                  ---------         --------                      ----------
3     panlab_Gateway- N ethernet1/4       42.11.45.1                    tunnel.2

admin@ PA- VM2(active)> show global-protect-gateway flow name panlab_Gateway
2019-09-15 11:18:38
id：3
类型： GlobalProtect -网关
本地 ip： 42.11.45.1
内部界面： 隧道.2 外部界面： 以太网 1/4
ssl 证书： GPPortalGatewayCert
活动用户： 1
分配 ip 远程 ip MTU 封装
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B （上下文 619）

admin@ PA- VM2 （活动） >显示全球 保护网关流隧道 id 3
隧道 panlab_Gateway - N
id： 3
类型： GlobalProtect -网关
本地 ip： 42.11.45.1
内部界面： 隧道.2 外部界面： 以太网 1/4
ssl 证书： GPPortal 盖特威特
活动用户： 1
分配 ip 远程 ip MTU 封装
----------------------------------------------------------------------------------------------------------------------
192.168.1.50 42.11.45.10 1420 IPSec SPI 4311646B （上下文 619）