# Palo Alto > Proteger GlobalProtect en Palo Alto con Ironchip mediante SAML o RADIUS con NPS: perfiles de autenticación, puerta de enlace y portal GlobalProtect. URL: https://docs.ironchip.com/identidad/integraciones/red/palo-alto/ Esta guía explica cómo integrar dispositivos **Palo Alto** con Ironchip mediante [SAML](https://docs.ironchip.com/identidad/protocolos/saml/) o [RADIUS](https://docs.ironchip.com/identidad/protocolos/radius/). Con la integración puedes centralizar la gestión de usuarios y reforzar la seguridad en el acceso. ## SAML ### Requisitos - Acceso a la consola de administración de Ironchip. - Un usuario con permisos para realizar la configuración en Palo Alto. - GlobalProtect configurado, con un portal y una puerta de enlace. ### Configurar el perfil SAML en Palo Alto 1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes. 2. Ve a **Device > Perfiles de servidor > Proveedor de identidad** y haz clic en **Importar** para definir un nuevo IdP SAML. [Imagen: Menú Device > Perfiles de servidor > Proveedor de identidad] [Imagen: Ventana de importación del IdP SAML] 3. Introduce estos datos: - **Nombre de perfil**: un nombre único e identificativo. - **Metadatos de proveedor de identidad**: los encuentras al crear una aplicación de tipo SAML en Ironchip. Descárgalos y súbelos con **Examinar...**. [Imagen: Descarga de los metadatos al crear la aplicación SAML en Ironchip] - **Sesgo máximo de reloj (sec)**: `60`. [Imagen: Ventana Importar perfil de servidor de proveedor de identidad SAML] 4. Haz clic en **Aceptar** y abre el perfil creado. 5. Desmarca **Validate Identity Provider Certificate** y **Firmar mensaje SAML en IDP**. 6. Haz clic en **Aceptar** para guardar. [Imagen: Perfil SAML con Validate Identity Provider Certificate y Firmar mensaje SAML en IDP desmarcados] ### Obtener los metadatos para Ironchip 1. Ve a **Device > Perfil de autenticación** y haz clic en **Añadir**. [Imagen: Menú Device > Perfil de autenticación] 2. Modifica estos parámetros: - **Nombre**: un nombre identificativo. - **Type**: `SAML`. - **Perfil de servidor IdP**: el perfil SAML creado. - **Habilitar cierre de sesión único**: marcado. - **Username Attribute**: `uid`. - **User Group Attribute**: `eduPersonAffiliation`. [Imagen: Parámetros del perfil de autenticación SAML] 3. Haz clic en **Aceptar**. En la lista de perfiles de autenticación, haz clic en el enlace **Metadatos** del perfil que acabas de crear. [Imagen: Enlace Metadatos del perfil en la lista de perfiles de autenticación] 4. En la ventana **Exportar metadatos de SAML**, selecciona `management` en **Servicio**, introduce la IP de conexión de tu VPN y descarga los metadatos. [Imagen: Ventana Exportar metadatos de SAML con el servicio management y la IP de la VPN] 5. Sube el archivo descargado a una dirección pública de internet y copia la URL en formato raw en el campo **Metadata URL** de la aplicación de Ironchip. [Imagen: Campo Metadata URL de la aplicación en Ironchip] :::note En la versión actual de la consola, la aplicación SAML tiene el apartado **Service Provider (SP)** con el campo **SP Metadata**, que admite **URL**, **Text** y **File**. Elige **File**, selecciona el archivo descargado y haz clic en **Import**: no hace falta subirlo a una dirección pública. ::: ### Aplicar el perfil SAML a la puerta de enlace 1. Ve a **Network > GlobalProtect > Puertas de enlace** y abre tu puerta de enlace GlobalProtect. 2. En la pestaña **Autenticación**, dentro de **Autenticación de cliente**, haz clic en **Añadir** para actualizar la autenticación del cliente con el perfil que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: - **Nombre**: un nombre único e identificativo. - **SO**: `Any`. - **Perfil de autenticación**: el perfil de autenticación que configuraste antes. - **Mensaje de autenticación**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Haz clic en **Aceptar** para guardar. [Imagen: Autenticación de cliente de la puerta de enlace con el perfil SAML] ### Aplicar el perfil SAML al portal GlobalProtect Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace. 1. Ve a **Network > GlobalProtect > Portales** y abre tu portal GlobalProtect. 2. En la pestaña **Autenticación**, dentro de **Autenticación de cliente**, haz clic en **Añadir** para actualizar la autenticación del cliente con el perfil SAML. 3. Deja la configuración predeterminada excepto estos campos: - **Nombre**: un nombre único e identificativo. - **SO**: `Any`. - **Perfil de autenticación**: el perfil de autenticación que configuraste antes. - **Mensaje de autenticación**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Haz clic en **Aceptar** para guardar. [Imagen: Autenticación de cliente del portal con el perfil SAML] ### Comprobación Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: al iniciar sesión se te pedirá que te autentiques con Ironchip. ### Administrador con SAML (opcional) 1. Ve a **Device > Administradores** y crea un perfil de administración o edita uno existente. [Imagen: Apartado Device > Administradores] 2. En **Perfil de autenticación**, selecciona el perfil SAML creado. [Imagen: Perfil de autenticación SAML en el administrador] 3. Ve a **Device > Configuración** y, en la pestaña **Gestión**, edita **Configuración de autenticación** con el icono del engranaje. [Imagen: Apartado Configuración de autenticación en Device > Configuración] 4. En **Perfil de autenticación**, selecciona el perfil SAML creado. [Imagen: Perfil de autenticación SAML en la configuración del dispositivo] ## RADIUS Configura Palo Alto para que autentique contra RADIUS e intégralo con un servidor NPS en un entorno de Active Directory. Si prefieres no usar NPS, puedes usar el [Ironchip RADIUS server](https://docs.ironchip.com/identidad/integraciones/red/radius-server/): los datos de conexión (IP, secreto y puerto) son los de ese servidor. ### Requisitos - Un servidor Windows con el rol de [NPS](https://docs.ironchip.com/identidad/integraciones/red/nps/) configurado y protegido por Ironchip. - Un cliente RADIUS creado en NPS que apunte a la IP de Palo Alto, con su secreto compartido. - Acceso a la consola de administración de Ironchip. - Un usuario con permisos para realizar la configuración en Palo Alto. - Un servicio de [VPN](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClHdCAK) configurado y funcional. ### Crear el perfil de servidor RADIUS 1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes. 2. Ve a **Device > Server Profiles > RADIUS** y haz clic en **Add** para definir un perfil de servidor RADIUS. [Imagen: Ventana RADIUS Server Profile con el tiempo de espera, los reintentos y el servidor NPS] 3. Escribe un **Profile Name** único e identificativo y configura: - **Timeout (sec)**: `60`. - **Authentication Protocol**: `PAP`. - **Retries**: `1`. 4. En **Servers**, haz clic en **Add** e introduce: - **Name**: un nombre único e identificativo. - **RADIUS Server**: la dirección IP del servidor NPS. - **Secret**: el secreto compartido que definiste en el cliente RADIUS de NPS. - **Port**: el puerto UDP en el que escucha NPS para RADIUS, por ejemplo `1812`. 5. Haz clic en **OK** para guardar. ### Definir el perfil de autenticación 1. Ve a **Device > Authentication Profile** y haz clic en **Add**. 2. En la pestaña **Authentication**, deja los valores predeterminados excepto: - **Type**: `RADIUS`. - **Server Profile**: el perfil de servidor que definiste en el apartado anterior. [Imagen: Pestaña Authentication del perfil con el tipo RADIUS y el perfil de servidor] 3. En la pestaña **Advanced**, dentro de **Allow List**, haz clic en **Add** y selecciona `all`. [Imagen: Pestaña Advanced con all en la Allow List] 4. Haz clic en **OK** y después en **Commit** para guardar el perfil de autenticación RADIUS. 5. Abre la CLI de Palo Alto Networks y prueba el perfil de autenticación. ### Aplicar el perfil RADIUS a la puerta de enlace 1. Ve a **Network > GlobalProtect > Gateways** y abre tu puerta de enlace GlobalProtect. 2. En la pestaña **Authentication**, haz clic en **Add** para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: - **Name**: un nombre único e identificativo. - **OS**: `Any`. - **Authentication Profile**: el perfil de autenticación que configuraste antes. - **Authentication Message**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Ve a **Agent > Client Settings**, abre la configuración del cliente y, en la pestaña **Authentication Override**, marca **Generate cookie for authentication override** y **Accept cookie for authentication override**. [Imagen: Pestaña Authentication Override con las dos casillas de cookie marcadas] 5. Haz clic en **OK** para guardar. ### Aplicar el perfil RADIUS al portal GlobalProtect Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace. 1. Ve a **Network > GlobalProtect > Portals** y abre tu portal GlobalProtect. 2. En la pestaña **Authentication**, haz clic en **Add** para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar. 3. Deja la configuración predeterminada excepto estos campos: - **Name**: un nombre único e identificativo. - **OS**: `Any`. - **Authentication Profile**: el perfil de autenticación que configuraste antes. - **Authentication Message**: instrucciones para los usuarios finales, como `Introduce tus credenciales`. 4. Ve a **Agent**, abre la configuración del agente y, en la pestaña **Authentication**, dentro de **Authentication Override**, marca **Generate cookie for authentication override** y **Accept cookie for authentication override**. [Imagen: Pestaña Authentication del agente del portal con las dos casillas de cookie marcadas] 5. Haz clic en **OK** para guardar. ### Confirmar la configuración Haz clic en **Commit** para guardar la configuración RADIUS en la consola de administración de Palo Alto Networks. Por defecto, las conexiones RADIUS salen por la interfaz de administración. Para cambiarlo, consulta la [base de conocimiento de Palo Alto Networks](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClGJCA0). ### Comprobación Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip. ### Problemas frecuentes - **La autenticación falla por tiempo de espera**: comprueba que el tiempo de espera del perfil de servidor RADIUS es `60` segundos y los reintentos `1`, para dejar tiempo a que el usuario responda a Ironchip. - **El servidor RADIUS rechaza la conexión**: comprueba que la IP de Palo Alto está configurada como cliente RADIUS en NPS y que el secreto compartido es el mismo en los dos lados.