Pourquoi un appareil client local rompt-il la RDP connexion à la plate-forme Cloud VM lorsqu’il se connecte à une GlobalProtect passerelle ?

Created On 09/21/20 22:48 PM - Last Modified 03/26/21 18:38 PM

Question

Pourquoi un périphérique client local perd-il une RDP connexion à une plate-forme Cloud VM lorsque la plate-forme Cloud VM se connecte à une passerelle sur GlobalProtect un ou NGFW Prisma Access ?

Environment

GlobalProtect Application client sur le Cloud VM
Plate-forme cloud (Azure, AWS [Serveurs De Mer Amazon], GCP [Plate-forme Google Cloud], etc.)
Dispositif client avec RDP application
RDP connexion client au cloud VM
Palo Alto Networks GlobalProtect Gateway activé NGFW ou Prisma Access configuré en mode « tunnel all »
Désactiver l’accès subnet local ( DLSA ) « Aucun accès direct au réseau local » n’est désactivé sur la passerelle

scénario

Le RDP Client au 1.2.3.4 se connecte au 5.6.7.8:3389 RDP pour 10.1.0.5.Le routeur utilise une destination NAT pour traduire le de IP 5.6.7.8:3389 à 10.1.0.5:3389.Lorsque le Cloud VM établit un tunnel vers la porte GlobalProtect VPN d’entrée global protect, toutes les routes de circulation à travers le tunnel à l’exception du trafic subnet local (10.1.0.0/24).Cela va donc briser la RDP connexion que la destination pour 1.2.3.4 est maintenant mis à l’itinéraire à travers le tunnel à la GW 192.168.1.1 au lieu de passer par le saut suivant d’origine de 10.1.0.1.

Mise en page du diagramme réseau

Answer

Pour éviter cela, nous avons 3 options :

A: Configurer GlobalProtect la passerelle avec un itinéraire d’accès pour exclure le public RDP client IP
B: Configurer une source NAT sur le routeur
C: Connexion de bureau à distance imbriquée

Option A

Cette option est préférable s’il n’y a que quelques adresses IP qui doivent être exclues du VPN tunnel.

De , allez à la configuration client de votre Panorama passerelle Split Tunneling: Network> GlobalProtect >Gateways>[Gateway Config]>Agent>Client Settings>[Client Config]>Split Tunnel>Access Routes
Dans la section Exclusion, ajouter 1.2.3.4.
Cliquez OK et pour conserver vos OK modifications.
Engagez-vous et poussez.

Configuration de passerelle pour exclure un IP

NOTE
Vous devrez réinitialiser votre GlobalProtect connexion à partir du Cloud VM .Le Cloud VM exclura désormais 1.2.3.4 de l’utilisation VPN du tunnel et gardera ainsi la session RDP du client 1.2.3.4 connecté.

Option B

Cette option est préférable si le RDP client peut être de n’importe quelle adresse ou il ya trop de clients à ajouter comme une IP RDP exclusion.Cet exemple config suppose que vous utilisez un Cloud Palo Alto Networks VM Firewall comme routeur.Si vous utilisez une autre méthode pour votre destination NAT , s’il vous plaît consulter ce guide sur la façon de faire à la fois source et NAT destination dans le même policy .

Apportez votre destination existante dans NAT policy les politiques> NAT .
Dans la section Traduction du >Source, modifiez le type de traduction en dynamique IP et en port.
Modifier le type d’adresse à l’adresse traduite.
Ajoutez 10.1.0.1 comme adresse traduite source qui se trouve sur le même sous-réseau que le Cloud VM .
Cliquez OK pour confirmer vos modifications.
S’engager.

Reconnectez RDP la séance de 1.2.3.4 à 5.6.7.8:3389

Option C

Nested RDP est expliqué en détail par Microsoft.Cette option suppose que vous avez un deuxième Cloud VM à IP 10.1.0.6/24 dans votre environnement Cloud avec une destination NAT pour RDP .

RDP du client RDP public au deuxième Cloud VM .
À partir RDP de cette session, ouvrez RDP une nouvelle connexion au Cloud VM (10.1.0.5)
Cette connexion ne diminuera pas lorsque le Cloud VM se connecte à la GP passerelle.

Additional Information

NOTE
Tous les clients sur le même sous-réseau que le Cloud VM (10.1.0.0/24) feront NOT l’expérience d’une rupture RDP de connexion lorsque le Cloud se VM connecte à la GP Passerelle.