GlobalProtectユーザートンネルは、専用ユーザーのIPプールの代わりにログオン前のIPアドレスを表示します
8866
Created On 05/17/23 16:01 PM - Last Modified 02/02/24 06:02 AM
Symptom
- ユーザーのGlobalProtectトンネルは、「ログオン前」トンネルのIPプールに保持されます
- 送信元IPに基づくセキュリティポリシーが正しく適用されない
Environment
- パロアルトのファイアウォール
- サポートされている PAN-OS のバージョン
- GlobalProtect(GP)ゲートウェイ
- グローバルプロテクトアプリ
- サポートされているクライアントのバージョン
- Windows クライアント
Cause
- この動作は、[ ログオン前トンネルの名前変更タイムアウト(Pre-Logon Tunnel Rename timeout)] で選択した値によって異なります。(ネットワーク> GlobalProtect ポータル > <portal-config> > エージェント > <agent-config> アプリ)
- 「-1」 を入力すると、GP はトンネルの名前を変更してユーザーに再割り当てします。
- ただし、名前の変更に失敗した場合、またはユーザーが GP ゲートウェイにログインしない場合、トンネルは維持されます。
Resolution
解決：
- 「ログオン前トンネルの名前変更タイムアウト」オプションで「0」を選択すると、ユーザーがマシンにログインした後にトンネルが終了します。
- ユーザーが正常に認証されると、専用ユーザーの IP プールから新しい IP が割り当てられます。
- GP アプリから [接続の更新] を選択して、新しいトンネルを最初から確立します。
Additional Information
ログオン前トンネルの名前変更タイムアウト オプションの値が "1 から 600" の場合、ユーザーはログオン前トンネルを終了する前に認証できるように、指定された時間だけトンネルが稼働し続けます。