ducthxnh
Intern
III.2 Cấu hình VPN Remote cho phép người dùng kết nối vào hệ thống nội bộ sử dụng AD (Active Directory) hoặc user local tạo trên NGFW
GlobalProtect (Remote Access VPN): Là giải pháp mạng riêng ảo của Palo Alto, cho phép người dùng từ xa (làm việc tại nhà, quán cafe) kết nối an toàn vào mạng nội bộ của công ty thông qua môi trường Internet không an toàn. Mọi dữ liệu truyền tải đều được mã hóa.
Active Directory (AD): Là dịch vụ quản lý thư mục của Microsoft. Trong bài này, AD đóng vai trò là kho lưu trữ thông tin tài khoản (Username/Password) tập trung.
Giao thức LDAP (Lightweight Directory Access Protocol): Giao thức tiêu chuẩn giúp Firewall Palo Alto "nói chuyện" và truy vấn thông tin tài khoản từ máy chủ Windows Server (Cổng 389).
1. Chuẩn bị máy chủ xác thực (Windows Server) - Vùng DMZ 172.16.10.10
Nâng cấp Windows Server lên làm Domain Controller, tạo tên miền lab.local. Tạo User dịch vụ (paloalto) và User nhân viên (User1). Tắt Windows Firewall vùng Domain.
Cấu hình Domain Controller
Đặt tên miền là lab.local
Bấm Next > Install
Sau đó máy sẽ restart lại, đăng nhập với mật khẩu thường
Tạo User
Vào Active Directory Users and Computers
Tạo User mới
Tương tự tạo thêm 2 User là user1 và user2
2. Mở cổng HTTPS trên Interface Outside (eth1/1) (Cái này trong mô hình lab không cần thiết, nhưng thực tế thì cần)
Vì Portal/Gateway lắng nghe trực tiếp trên IP của eth1/1, cần cho phép HTTPS tới chính interface này.
Network > Network Profiles > Interface Mgmt > Add
Field Giá trị
Name Allow-GP-HTTPS
Ping ✔ (tuỳ chọn, để test)
HTTPS ✔
HTTP, SSH, Telnet, HTTP OCSP ☐ (không tick — tránh public-facing bị lộ quản trị)
Permitted IP để trống = cho phép mọi IP, hoặc giới hạn nếu muốn
Network > Interfaces > eth1/1 > Advanced > Management Profile → chọn Allow-GP-HTTPS → OK.
Bên cạnh đó phải mở cổng dịch vụ LDAP nữa
Devices > Setup > Services > Service Route Config
3. Tạo Certificate (Root CA tự ký + Server Cert)
3.1. Tạo Root CA tự ký
Device > Certificate Management > Certificates > Device Certificates > Generate
Certificate Name GP-Root-CA
Common Name GP-Root-CA
Certificate Authority ✔ (tick, đánh dấu đây là CA)
Algorithm RSA, 2048
3.2. Tạo Server Certificate, ký bởi Root CA vừa tạo
Generate tiếp:
Certificate Name GP-Portal-Cert
Common Name 10.120.170.211 (IP public Portal — hoặc FQDN nếu bạn có DNS trỏ tới)
Signed By GP-Root-CA
Certificate Authority ☐ (không tick)
3.3. Xuất Root CA để client tự động nhận (tránh cảnh báo "không tin cậy"
Chọn GP-Root-CA → Export Certificate (chỉ export Certificate, không export Private Key) → lưu file .pem — GlobalProtect Portal sẽ tự đẩy Root CA này cho client khi họ connect lần đầu, nên bước export này chỉ cần nếu bạn muốn cài thủ công trước cho nhanh.
4. Cấu hình LDAP Server Profile (kết nối tới AD)
Khai báo LDAP Profile (Trỏ về IP 172.16.10.10, dùng tài khoản lab\paloalto), cấu hình Group Mapping và Authentication Profile.
Firewall bản thân nó không lưu mật khẩu của nhân viên. Cấu hình này giúp tạo một "đường ống" để mỗi khi nhân viên đăng nhập VPN, Firewall sẽ tự động mang tài khoản đó sang AD để kiểm tra đối chiếu.
Xác định BindDN bằng cách vào View > Advanced Features
Xong vô lại User click User cần check bấm Properties tìm Attribute Editor
Device > Server Profiles > LDAP > Add
Name AD-LDAP-Profile
Server List Add: Name = dc1, LDAP Server = 170.16.10.10, Port = 389 (hoặc 636 nếu dùng LDAPS)
Type active-directory
Base DN DC=lab,DC=local
Bind DN cn=paloalto,cn=Users,dc=lab,dc=local (tài khoản service account trong AD dùng để bind — cần tạo tài khoản này trong AD sau) hoặc là paloalto@lab.local
Bind Password mật khẩu tài khoản đó
**tắt required SSL/TLS
Base DN/Bind DN phải khớp chính xác với cấu trúc AD thật khi bạn dựng xong Winserver. Ghi placeholder ở đây, sửa lại sau khi có AD thật.
Check kết nối LDAP và lấy danh sách trong Group người dùng Remote - Bước này chỉ check có nhận được user hay không, kết nối LDAP thành công hay không chứ không cần thiết
Device > User Identification > Tab Group Mapping Setting > Add
Chọn LDAP Profile
Commit luôn nhé
Sau đó check Group Mapping Status
Hiện số Group là đã thành công - nếu là 0 thì lỗi
Check kĩ hơn
Vào lại Check-Mapping qua Group Include List sẽ hiện các nhóm user
5. Authentication Profile (gắn LDAP vào)
Device > Authentication Profile > Add
Name AD-Auth-Profile
Type LDAP
Server Profile AD-LDAP-Profile
Login Attribute sAMAccountName
Advanced > Allow List all (hoặc giới hạn theo Group AD cụ thể sau này)
Lấy hết tất cả user kể cả local hoặc trong winserver
6. (Tuỳ chọn) Local User — dùng khi AD chưa sẵn sàng để test trước - hoặc kết hợp song song cả 2
Nếu muốn test GlobalProtect trước khi AD dựng xong:
Device > Local User Database > Users > Add
- Name: testuser, Password: đặt tuỳ ý
Dùng profile này cho Portal/Gateway trước, sau khi AD xong thì đổi lại sang AD-Auth-Profile.
**Nếu thêm user local vào thì tạo 1 Authentication Sequence - Kết hợp cả 2 nhóm lại vừa user từ AD vừa user từ local -> sau đó cấu hình Global Protect chỉ cần thêm nhóm user Sequence này thôi - hoặc là thêm thẳng là Authentication Profile lúc nãy tạo (vì đã để all nên local cũng chấp nhận, đây là do trong môi trường lab, nếu thực tế sẽ chia nhỏ ra phòng ban, local, … các user khác mục đích khác)
7. Tunnel Interface cho GlobalProtect
Network > Interfaces > Tunnel > Add
Name tunnel.2 (khác với tunnel.1 đã dùng cho site-to-site VPN)
Virtual Router default
Zone tạo mới GP-Zone
8. GlobalProtect Portal
Network > GlobalProtect > Portals > Add
Tab General
Name GP-Portal
Interface eth1/1
IP Address Type IPv4
Tab Authentication
- Client Authentication > Add:
OS: Any
Authentication Profile: AD-Auth-Profile (hoặc Local-Auth-Test nếu test trước)
- SSL/TLS Service Profile → Add mới
Certificate: GP-Portal-Cert
Min TLS Version: TLS1.0
Tab Agent
Trusted Root CA: thêm GP-Root-CA
Agent > Add config
- Name: default-agent
- External Gateways > Add: Name = Main-Gateway, Address = 10.120.170.211
9. GlobalProtect Gateway
Network > GlobalProtect > Gateways > Add
Name GP-Gateway
Interface eth1/1
IP Address Type IPv4
Tab Authentication
- SSL/TLS Service Profile: GP-SSL-Profile (dùng lại profile đã tạo)
- Client Authentication > Add
- Name: default-auth
- Authentication Profile: AD-Auth-Profile
Tab Agent > Tunnel Settings
- Tunnel Interface: tunnel.2
- ✔ Enable IPSec/SSL (mặc định)
Tab Agent > Client Settings > Add
Name default-client-config
IP Pools Add: 10.10.10.0/24 (dải IP cấp cho client remote — khác hẳn mọi subnet đang dùng)
Access Route Add: 192.168.10.0/24, 192.168.20.0/24, 172.16.10.0/24 (những mạng client remote được phép vào — hoặc để 0.0.0.0/0 nếu muốn full tunnel)
10. Security Policy cho traffic từ GlobalProtect
Policies > Security > Add
11. NAT Exemption cho traffic GlobalProtect → Inside (bắt buộc, giống VPN site-to-site)
Vì rule Nat-to-Internet (PAT) đang match "any" nguồn nội bộ ra Outside — traffic từ client remote (dải 10.10.10.0/24) đi vào Inside không được đi qua Outside, nên bình thường sẽ không bị NAT nhầm (khác zone đích). Nhưng cần đảm bảo không có rule PAT nào match GP-Zone → Inside — kiểm tra lại NAT rule hiện có, đừng để Source Zone = any bao trùm luôn cả GP-Zone.
Kiểm tra & Test
Dùng máy win nằm ngoài test
Tới đây đăng nhập bằng tài khoản AD hoặc local tùy bạn
Sau khi đăng nhập
Sau khi đăng nhập tải phần mềm phù hợp với phiên bản để remote (Nhưng thường sẽ lỗi nên download ở ngoài)
Và bạn phải up cert lên (nối thẳng dây từ máy win WebUI ra net rồi up lên đâu đó (drive, git, …), xong vào link down cert đó về)
Mở app - kêt nối
Được yêu cầu cung cấp chứng chỉ
Sau khi nếu proceed thì sẽ lỗi
Sau khi cài đặt chứng chỉ và đăng nhập lại
Bài viết liên quan
Được quan tâm
Bài viết mới