PaloAlto防火墙GlobalProtect配置及测试.pdf

《PaloAlto防火墙GlobalProtect配置及测试.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、PaloAlto下一代防火墙GlobalProtect配置及测试文档1GlobalProtect配置步骤1.1拓扑1.2配置防火墙接口地址；1.登录防火墙web界面2.点击Network—>接口—>以太网，选择接口双击3.选择接口类型，选择3层接口4.点击配置，选择默认路由及untrust区域5.选择ipv4标签，点击左下角“添加”输入IP地址~1~1.3设置时间配置1.3.1本地时间设置1.点击“Device”“设置”“管理”设置图标2.选择时间区、区域、及日期和时间~2~1.3.2NTP设置1.选择标签“Device”“设置”“服务”设

2、置图标NTP2.填写NTP服务器地址，点击成功1.4生成证书1.点击“Device”选择树形栏“证书”，点击“生成证书”2.填写创建证书名称及常见名称~3~3.勾选上证书授权机构4.填写证书属性5.点击生成1.5创建RADIUS服务器配置文件1.登录到paloalto管理界面，并点击“Device”选项卡。2.展开左侧的服务器配置文件树，选择“RADIUS”图标，然后单击页面底部附近的“添加”按钮。3.在“名称”字段中输入RADIUS配置文件的名称，单击“服务器”部分底部的“添加”按钮，然后单击表中的第一行。4.在服务器列中输入服务器的名称。5.在各

3、自的列中输入RADIUS服务器的IP地址、共享秘密和端口号。6.为要添加到配置文件的每个附加RADIUS服务器重复步骤4和步骤5。7.点击成功按钮~4~1.6RADIUS配置文件分配给身份验证配置文件1.选择“左侧”工具栏上的“验证配置文件”图标，然后单击页面底部附近的“添加”按钮。2.在“名称”字段中输入文件的名称3.在“类型”字段下拉框选择RADIUS4.在“服务器配置文件”字段选择创建好的配置文件（Radius）5.在“高级”标签中添加允许用户~5~1.7指定RADIUS认证globalprotect门户1.点击“network”选项卡，在左边的

4、工具栏的扩展globalprotect树，选择门户网站的图标，点击“添加”按钮的页面底部附近；2.选择门户配置，在“名称”字段输入名称；3.在网络设置栏里点击“接口”右边下拉框，选择eth1接口；4.在网络设置栏里点击“IP地址”右边下拉框，选择IP地址；5.在网络设置栏里点击“SSL/TLS服务配置文件”右边下拉框，选择“新SSL/TLS服务配置文件”；6.在新建服务配置文件窗口，“名称”字段输入名称及选择证书7.身份验证选择RADIUS~6~8.选择左边“代理配置”9.点击代理配置栏下添加按钮10.在弹出的配置窗口选择“常规”11.在名称字段输入名

5、称12.“链接方法”选择on-demand13.“身份验证修饰符”选择配置刷新的cookie身份验证14.选择“用户/用户组”标签~7~15.选择“any”16.选择“网关标签”17.在外部网关栏点击“添加”输入名称及外部地址18.选择标签agent19.去掉“允许用户保存密码”“启用重新发现网络选项”“启用重新提交主机配置文件选项”20.点击“成功”~8~1.8配置网关1.在左边的工具栏的扩展globalprotect树，选择网关的图标，点击“添加”按钮的页面底部附近。2.在名称栏输入名称3.接口选择Eth14.选择地址5.选择证书及身份验证配置文件

6、~9~6.选择左侧“clientconfiguration”点击隧道设置7.在隧道接口下拉框点击“新隧道接口”8.设置接口ID数字9.选择新建路由及新建区域~10~~11~2测试2.1测试场景：1.两台PC终端分别为win10和win7系统，模拟外网访通过vpn访问内部服务器2.两台终端分别安装vpn客户端，以拨号形式进行认证登录3.两台终端通过客户端拨号到防火墙外网接口地址，再由PaloAlto防火墙把认证转交给RSA进行认证，认证通过则返回结果交给PaloAlto防火墙，防火墙建立VPN成功，分发VPN指定地址给拨号终端。2.2Win10系统测试1

7、.拨号前状态拨号前无法获取vpn地址，也无法访问内网服务器192.168.20.102.拨号过程拨号时门户地址需要输入防火墙外部接口的地址，连接门户进行认证，密码测需要输SRA认证的账号密码~12~3.拨号后状态拨号成功后则可以看见分配的VPN地址，并且可以ping通内网服务器地址（192.168.20.10）2.3Win7系统测试1.拨号前状态拨号前无法获取vpn地址，也无法访问内网服务器192.168.20.102.拨号过程拨号时门户地址需要输入防火墙外部接口的地址，连接门户进行认证，密码测需要输SRA认证的账号密码~13~3.拨号后状态拨号成功后

8、则可以看见分配的VPN地址，并且可以ping通内网服务器地址（192.168.20.10）2.