【Palo Alto】【Prisma Access】GlobalProtectでのモバイルユーザ接続｜技術ブログ

セキュリティ

Palo Alto Networks

2024.09.26

本記事は、Prisma Accessのモバイルユーザ接続に必要な設定をご紹介します。
※Strata Cloud Managerでの設定手順です

Prisma Accessでは、3つの接続形態が提供されています。

リモートネットワーク(RN): 支店や工場などの拠点からPrisma Accessへの接続
モバイルユーザ(MU): テレワークなど社外のユーザからPrisma Accessへの接続
サービスコネクション(SC): RN/MUからアクセスされるDCとPrisma Accessの接続

Prisma Accessを活用することで社内外のユーザに強固なセキュリティを適用し、一元的な管理が可能になります。

今回は、GlobalProtectエージェントを用いたMU接続の設定方法をご紹介します。

1. 初期設定

1.1 GlobalProtect機能の有効化

[Workflows > Prisma Access Setup > モバイルユーザ]

①Enable(有効化)をクリックします。

②有効化すると「GlobalProtectセットアップ」と表示され、割り当て可能なユーザ数が表示されます。

1.2 インフラストラクチャ設定

[Workflows > Prisma Access Setup > GlobalProtect]

①インフラストラクチャ設定の歯車マークをクリックします。

②ポータル名を設定します。
ポータル名タイプが「Default Domain」の場合、ポータルのホスト名のみを指定します。

ポータルに自身で所有しているドメインを利用したい場合、ポータル名タイプとして「Custom Domain」を選択します。FQDN、CNAMEとして.lab.gpcloudservice.comのホスト名を指定し、ポータルへのSSL接続時のサーバ証明書をインポートします。

③クライアントDNSを設定します。

クライアントDNSは、VPN接続した端末が利用するDNSサービスです。インターネットアクセスのみの場合はデフォルトのDNSのみで対応可能ですが、SC/RN接続された内部システム/内部ドメインへのアクセス時には本設定が必要です。

リージョンをクリックすると編集できます。リージョンごとに異なる内部DNSドメイン/内部DNSサーバを利用する場合、「地域追加」をクリックして設定します。(任意)

リージョン「世界中」の編集画面です。全リージョンで共通の設定を行います。

内部ドメイン: 内部ドメインに対して内部DNSサーバを利用する場合はチェックを入れます。「内部ドメイン解決規則」の項目が出現するので内部ドメインを追加します。
パブリックドメイン: パブリックドメインの名前解決に利用するDNSサーバを指定します。

③クライアントIPプールを設定します。

クライアントIPプールはGlobalProtectにてVPN接続時に端末に割り当てられるプライベートIPアドレスです。VPN接続された端末からインターネットアクセスする際は送信元NATされますが、SC/RNアクセス時は本設定で割り当てられたIPアドレスが送信元となります。そのため、既存のプライベートIPアドレスと重複しないIPアドレス範囲を指定してください。

リージョンをクリックすると編集できます。リージョンごとに異なるIPプールを利用する場合、「IPプール追加」をクリックして設定します。（任意）

リージョン「世界中」の編集画面です。全リージョンで共通の設定を行います。

IPプールでは、全世界共通で利用するIPプールを追加可能です。最低/23のIPプールが必要です。接続デバイス数の2倍程度のIPプール設定が推奨です。

1.3 Prisma Accessロケーション設定

GlobalProtectでMU接続の際に利用するアクセスポイントです。
国内は「Japan Central」「Japan South」があり、国内利用時には基本的にこの2カ所を有効にします。

[Workflows > Prisma Access Setup > GlobalProtect]

①Prisma Accessロケーションの項目で、「ロケーションの追加」をクリックします。

②歯車アイコンをクリックします。

③有効化するロケーションをクリックします。

④有効化するアクセスポイントをクリックします。緑色が選択されている状態です。
選択が完了したら「保存」をクリックします。

2. ユーザ認証設定

認証プロファイルを作成後、GlobalProtectユーザ用の認証設定を行います。

2.1 認証プロファイル

まずは認証プロファイルを設定します。

[Manage > Configuration > NGFWとPrisma Access > IDサービス > 認証 > 認証プロファイル]

①「プロファイルの追加」をクリックします。

②ローカルユーザ用の認証プロファイルの設定例です。
※事前にローカルユーザを追加しておく必要があります
※OktaとのSAML連携についてはこちらの記事をご参考ください

認証方式: 「ローカルユーザ」を選択します
プロファイル名: プロファイル名を入力します
認証可能なユーザ: 対象のローカルユーザを選択します

③設定が完了したら「保存」をクリックします。

2.2 GlobalProtectユーザ認証

[Workflows > Prisma Access Setup > GlobalProtect]

①ユーザ認証の項目で「認証の追加」をクリックします。

②以下の項目を全て入力し、「保存」をクリックします。

次よりユーザを認証する: OSを選択します (Any/Android/Browser/Chrome/IoT/Linux/Mac/Satellite/Windows/WindowsUWP/iOS)
認証方式: 認証方式を選択します (Local Users/SAML/RADIUS/LDAP/TACACS+/Kerberos/Cloud Identity Engine/シーケンスの複数の認証プロファイル)
Profile: 認証方式ごとのプロファイルを選択/新規追加/編集
証明書の認証: クライアント証明書を利用した認証を設定します。
証明書プロファイル: 証明書認証を有効にする場合、証明書プロファイルを選択します。

証明書の認証では、証明書プロファイルで設定されているルート証明機関が発行したクライアント証明書が端末にインストールされている場合に認証に成功します。
Pre-Logon利用時は、端末のコンピュータアカウントにクライアント証明書をインストールする必要があります。

③設定が完了したら「保存」をクリックします。

3. GlobalProtectアプリケーション設定

3.1 アプリケーション設定

アプリケーション設定は、GlobalProtectアプリケーションの動作に関する設定です。

GlobalProtectは、VPN接続時にまずポータルへアクセスし認証を実施します。
認証完了後、アプリケーション設定の情報をダウンロードし、その設定に基づいて動作します。
※VPN接続時にポータルへアクセスできない場合、直前にダウンロードした設定に基づいて動作します

設定の上から順に「一致条件」に基づいて評価され、最初に一致した設定が適用されます。
※一致する設定がない場合、ポータル接続時にエラーとなりVPN接続に失敗します

[Workflows > Prisma Access Setup > GlobalProtect > GlobalProtectアプリケーション]

①「追加アプリケーション設定」をクリックして新規アプリケーション設定を追加することができます。

以下はデフォルトのアプリケーション設定です。

②一致条件でOSやユーザエンティティ(ユーザ/ユーザグループ)を指定します。
※ユーザエンティティを指定する場合、ローカルユーザもしくはCIE連携が必要です

認証のオーバーライドでは、ポータルやトンネル接続時の認証で利用するCookie用証明書を指定します。　

③アプリケーション設定では、VPN接続のタイミングやエージェントのアップグレードなどに関する設定を行います。

接続: VPN接続に関する動作モードを選択します
- Always On: 端末へのログオン後に自動的にVPN接続
- Pre-Logon: 端末へのログオン前に自動的にVPN接続 (Always On)
- On-demand: ユーザが接続をクリックした場合のみ
GlobalProtectの無効化: GPエージェント無効化の制御設定を行います
GlobalProtectのアンインストール: GPエージェントのアンインストール可否を指定(※Windowsのみ)
GlobalProtectのアップグレード: GPエージェントのアップグレード動作を選択
- Allow when user accepts the upgrade prompt: ユーザが許容したときにアップグレード
- Disallow: アップグレード無効
- Allow Manually: 手動でアップグレード
- Allow transparently: ユーザに意識させずにアップグレード
- Allow when the user is in the corporate network: 社内ネットワークにいるときにアップグレード