Citrix SD-WAN

Integración de Palo Alto mediante túneles IPsec

October 27, 2021

Contribución de:

Las redes Palo Alto ofrecen una infraestructura de seguridad basada en la nube para proteger redes remotas. Proporciona seguridad al permitir a las organizaciones configurar firewalls regionales basados en la nube que protegen la estructura SD-WAN.

El servicio Prisma Access para redes remotas le permite conectar ubicaciones de red remotas y ofrecer seguridad a los usuarios. Elimina la complejidad de configurar y administrar dispositivos en cada ubicación remota. El servicio proporciona una forma eficiente de agregar fácilmente nuevas ubicaciones de red remotas y minimizar los desafíos operativos al garantizar que los usuarios de estas ubicaciones estén siempre conectados y seguros, y le permite administrar las directivas de forma centralizada desde Panorama para lograr una seguridad uniforme y optimizada para su sistema remoto ubicaciones de red.

Para conectar sus ubicaciones de red remotas al servicio Prisma Access, puede utilizar el firewall de próxima generación de Palo Alto Networks o un dispositivo de terceros compatible con IPsec, incluida SD-WAN, que puede establecer un túnel IPsec para el servicio.

Planificar el servicio Prisma Access para redes remotas
Configuración del servicio Prisma Access para redes remotas
Redes remotas incorporadas con importación de configuración

La solución Citrix SD-WAN ya ofrecía la capacidad de eliminar el tráfico de Internet de la sucursal. Esto es fundamental para ofrecer una experiencia de usuario más fiable y de baja latencia, al tiempo que se evita la introducción de un paquete de seguridad costoso en cada sucursal. Citrix SD-WAN y Palo Alto Networks ahora ofrecen a las empresas distribuidas una forma más confiable y segura de conectar a los usuarios de sucursales con aplicaciones en la nube.

Los dispositivos Citrix SD-WAN pueden conectarse a la red del servicio en la nube de Palo Alto (Prisma Access Service) a través de túneles IPsec desde ubicaciones de dispositivos SD-WAN con una configuración mínima. Puede configurar la red Palo Alto en Citrix SD-WAN Center.

Antes de empezar a configurar el servicio Prisma Access para redes remotas, asegúrese de tener preparada la siguiente configuración para garantizar que puede habilitar correctamente el servicio y aplicar la directiva para los usuarios de sus ubicaciones de red remotas:

Conexión de servicio: si sus ubicaciones de red remotas requieren acceso a la infraestructura de su sede corporativa para autenticar a los usuarios o habilitar el acceso a activos de red críticos, debe configurar el acceso a su red corporativa para que las sedes centrales y las ubicaciones de red remotas estén conectado.

Si la ubicación de red remota es autónoma y no necesita acceder a la infraestructura de otras ubicaciones, no es necesario configurar la conexión del servicio (a menos que los usuarios móviles necesiten acceso).

Plantilla: el servicio Prisma Access crea automáticamente una pila de plantillas (Remote_Network_Template_Stack) y una plantilla de nivel superior (Remote_Network_Template) para el servicio Prisma Access para redes remotas. Para configurar el servicio Prisma Access para redes remotas, configure la plantilla de nivel superior desde cero o aproveche la configuración existente, si ya está ejecutando un firewall de redes Palo Alto in situ.

La plantilla requiere la configuración para establecer el túnel IPsec y la configuración de Intercambio de claves de Internet (IKE) para la negociación de protocolos entre la ubicación de red remota y el servicio Prisma Access para redes remotas, zonas a las que puede hacer referencia en la directiva de seguridad y un perfil de reenvío de registros para que puede reenviar registros desde el servicio Prisma Access para redes remotas al servicio de registro.
Grupo de dispositivos principales: el servicio Prisma Access para redes remotas requiere que especifique un grupo de dispositivos principal que incluya la directiva de seguridad, los perfiles de seguridad y otros objetos de directiva (como grupos y objetos de aplicaciones y grupos de direcciones), así como la directiva de autenticación para que el El servicio Prisma Access para redes remotas puede aplicar de forma coherente la directiva para el tráfico que se enruta a través del túnel IPsec al servicio Prisma Access para redes remotas. Debe definir reglas y objetos de directiva en Panorama o utilizar un grupo de dispositivos existente para proteger a los usuarios en la ubicación de red remota.

Nota:

Si utiliza un grupo de dispositivos existente que hace referencia a zonas, asegúrese de agregar la plantilla correspondiente que define las zonas a Remote_Network_Template_Stack.

Esto le permite completar la asignación de zonas al configurar Prisma Access Service for Remote Networks.
Subredes IP: para que el servicio Prisma Access enrute el tráfico a sus redes remotas, debe proporcionar información de redirección para las subredes que desea proteger mediante el servicio Prisma Access. Puede definir una ruta estática a cada subred en la ubicación de red remota o configurar BGP entre las ubicaciones de conexión de servicio y el servicio Prisma Access, o utilizar una combinación de ambos métodos.

Si configura ambas rutas estáticas y habilita BGP, las rutas estáticas tienen prioridad. Si bien puede ser conveniente utilizar rutas estáticas si solo tiene unas pocas subredes en sus ubicaciones de red remotas, en una implementación grande con muchas redes remotas con subredes superpuestas, BGP le permitirá escalar con mayor facilidad.

Red Palo Alto en SD-WAN Center

Asegúrese de que se cumplen los siguientes requisitos previos:

Obtenga la dirección IP panorámica del servicio PRISMA ACCESS.
Obtener nombre de usuario y contraseña de usuario en el servicio PRISMA ACCESS.
Configure los túneles IPsec en la GUI del dispositivo SD-WAN.
Asegúrese de que el sitio no esté registrado en una región, que ya tiene un sitio diferente configurado con perfiles ike/ipsec distintos de Citrix-IKE-Crypto-Default/Citrix-IPSEC-Crypto-Default.
Asegúrese de que la configuración de Prisma Access no se modifique manualmente cuando SD-WAN Center actualice la configuración.

En la GUI de Citrix SD-WAN Center, proporcione información de suscripción a Palo Alto.

Configure la dirección IP panorámica. Puede obtener esta dirección IP en Palo Alto (servicio PRISMA ACCESS).
Configure el nombre de usuario y la contraseña utilizados en el servicio PRISMA ACCESS.

Agregar e implementar sitios

Para implementar los sitios, elija la región de red PRISMA ACCESS y el sitio SD-WAN que desea configurar para la región Prisma Access y, a continuación, seleccione el vínculo WAN del sitio, el ancho de banda y el objeto de aplicación para seleccionar el tráfico.

Nota:

El flujo de tráfico se ve afectado si el ancho de banda seleccionado supera el rango de ancho de banda disponible.

Puede elegir redirigir todo el tráfico vinculado a Internet al servicio PRISMA ACCESS seleccionando la opción Todo el tráfico en la selección de objetos de aplicación.
Puede continuar agregando más sitios de sucursales SD-WAN según sea necesario.
Haga clic en Implementar. Se ha iniciado el proceso de gestión de cambios. Haga clic en Sí para continuar.

Después de la implementación, la configuración del túnel IPsec utilizada para establecer los túneles es la siguiente.

La página de destino muestra la lista de todos los sitios configurados y agrupados en diferentes regiones SD-WAN.

Verificar la conexión de tráfico de extremo a extremo:

Desde la subred LAN de la sucursal, acceda a los recursos de Internet.
Compruebe que el tráfico pasa a través del túnel IPsec de Citrix SD-WAN hasta Palo Alto Prisma Access.
Compruebe que la directiva de seguridad de Palo Alto se aplica al tráfico en la ficha Supervisión.
Verifique que la respuesta de Internet al host en una sucursal llegue a través.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Integración de Palo Alto mediante túneles IPsec

October 27, 2021

Contribución de:

October 27, 2021

Contribución de: