Palo Alto

Esta guía explica cómo integrar dispositivos Palo Alto con Ironchip mediante SAML o RADIUS. Con la integración puedes centralizar la gestión de usuarios y reforzar la seguridad en el acceso.

SAML

Requisitos

• Acceso a la consola de administración de Ironchip.
• Un usuario con permisos para realizar la configuración en Palo Alto.
• GlobalProtect configurado, con un portal y una puerta de enlace.

Configurar el perfil SAML en Palo Alto

1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes.

2. Ve a Device > Perfiles de servidor > Proveedor de identidad y haz clic en Importar para definir un nuevo IdP SAML.

   

   

3. Introduce estos datos:

   • Nombre de perfil: un nombre único e identificativo.

   • Metadatos de proveedor de identidad: los encuentras al crear una aplicación de tipo SAML en Ironchip. Descárgalos y súbelos con Examinar….

     

   • Sesgo máximo de reloj (sec): 60.

   

4. Haz clic en Aceptar y abre el perfil creado.

5. Desmarca Validate Identity Provider Certificate y Firmar mensaje SAML en IDP.

6. Haz clic en Aceptar para guardar.

   

Obtener los metadatos para Ironchip

1. Ve a Device > Perfil de autenticación y haz clic en Añadir.

   

2. Modifica estos parámetros:

   • Nombre: un nombre identificativo.
   • Type: SAML.
   • Perfil de servidor IdP: el perfil SAML creado.
   • Habilitar cierre de sesión único: marcado.
   • Username Attribute: uid.
   • User Group Attribute: eduPersonAffiliation.

   

3. Haz clic en Aceptar. En la lista de perfiles de autenticación, haz clic en el enlace Metadatos del perfil que acabas de crear.

   

4. En la ventana Exportar metadatos de SAML, selecciona management en Servicio, introduce la IP de conexión de tu VPN y descarga los metadatos.

   

5. Sube el archivo descargado a una dirección pública de internet y copia la URL en formato raw en el campo Metadata URL de la aplicación de Ironchip.

   

Nota

En la versión actual de la consola, la aplicación SAML tiene el apartado Service Provider (SP) con el campo SP Metadata, que admite URL, Text y File. Elige File, selecciona el archivo descargado y haz clic en Import: no hace falta subirlo a una dirección pública.

Aplicar el perfil SAML a la puerta de enlace

1. Ve a Network > GlobalProtect > Puertas de enlace y abre tu puerta de enlace GlobalProtect.

2. En la pestaña Autenticación, dentro de Autenticación de cliente, haz clic en Añadir para actualizar la autenticación del cliente con el perfil que acabas de configurar.

3. Deja la configuración predeterminada excepto estos campos:

   • Nombre: un nombre único e identificativo.
   • SO: Any.
   • Perfil de autenticación: el perfil de autenticación que configuraste antes.
   • Mensaje de autenticación: instrucciones para los usuarios finales, como Introduce tus credenciales.

4. Haz clic en Aceptar para guardar.

   

Aplicar el perfil SAML al portal GlobalProtect

Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace.

1. Ve a Network > GlobalProtect > Portales y abre tu portal GlobalProtect.

2. En la pestaña Autenticación, dentro de Autenticación de cliente, haz clic en Añadir para actualizar la autenticación del cliente con el perfil SAML.

3. Deja la configuración predeterminada excepto estos campos:

   • Nombre: un nombre único e identificativo.
   • SO: Any.
   • Perfil de autenticación: el perfil de autenticación que configuraste antes.
   • Mensaje de autenticación: instrucciones para los usuarios finales, como Introduce tus credenciales.

4. Haz clic en Aceptar para guardar.

   

Comprobación

Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: al iniciar sesión se te pedirá que te autentiques con Ironchip.

Administrador con SAML (opcional)

1. Ve a Device > Administradores y crea un perfil de administración o edita uno existente.

   

2. En Perfil de autenticación, selecciona el perfil SAML creado.

   

3. Ve a Device > Configuración y, en la pestaña Gestión, edita Configuración de autenticación con el icono del engranaje.

   

4. En Perfil de autenticación, selecciona el perfil SAML creado.

   

RADIUS

Configura Palo Alto para que autentique contra RADIUS e intégralo con un servidor NPS en un entorno de Active Directory. Si prefieres no usar NPS, puedes usar el Ironchip RADIUS server: los datos de conexión (IP, secreto y puerto) son los de ese servidor.

Requisitos

• Un servidor Windows con el rol de NPS configurado y protegido por Ironchip.
• Un cliente RADIUS creado en NPS que apunte a la IP de Palo Alto, con su secreto compartido.
• Acceso a la consola de administración de Ironchip.
• Un usuario con permisos para realizar la configuración en Palo Alto.
• Un servicio de VPN configurado y funcional.

Crear el perfil de servidor RADIUS

1. Inicia sesión en la consola de administración de Palo Alto Networks con privilegios suficientes.

2. Ve a Device > Server Profiles > RADIUS y haz clic en Add para definir un perfil de servidor RADIUS.

   

3. Escribe un Profile Name único e identificativo y configura:

   • Timeout (sec): 60.
   • Authentication Protocol: PAP.
   • Retries: 1.

4. En Servers, haz clic en Add e introduce:

   • Name: un nombre único e identificativo.
   • RADIUS Server: la dirección IP del servidor NPS.
   • Secret: el secreto compartido que definiste en el cliente RADIUS de NPS.
   • Port: el puerto UDP en el que escucha NPS para RADIUS, por ejemplo 1812.

5. Haz clic en OK para guardar.

Definir el perfil de autenticación

1. Ve a Device > Authentication Profile y haz clic en Add.

2. En la pestaña Authentication, deja los valores predeterminados excepto:

   • Type: RADIUS.
   • Server Profile: el perfil de servidor que definiste en el apartado anterior.

   

3. En la pestaña Advanced, dentro de Allow List, haz clic en Add y selecciona all.

   

4. Haz clic en OK y después en Commit para guardar el perfil de autenticación RADIUS.

5. Abre la CLI de Palo Alto Networks y prueba el perfil de autenticación.

Aplicar el perfil RADIUS a la puerta de enlace

1. Ve a Network > GlobalProtect > Gateways y abre tu puerta de enlace GlobalProtect.

2. En la pestaña Authentication, haz clic en Add para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar.

3. Deja la configuración predeterminada excepto estos campos:

   • Name: un nombre único e identificativo.
   • OS: Any.
   • Authentication Profile: el perfil de autenticación que configuraste antes.
   • Authentication Message: instrucciones para los usuarios finales, como Introduce tus credenciales.

4. Ve a Agent > Client Settings, abre la configuración del cliente y, en la pestaña Authentication Override, marca Generate cookie for authentication override y Accept cookie for authentication override.

   

5. Haz clic en OK para guardar.

Aplicar el perfil RADIUS al portal GlobalProtect

Aplica al portal la misma configuración que acabas de aplicar a la puerta de enlace.

1. Ve a Network > GlobalProtect > Portals y abre tu portal GlobalProtect.

2. En la pestaña Authentication, haz clic en Add para actualizar la autenticación del cliente con el perfil RADIUS que acabas de configurar.

3. Deja la configuración predeterminada excepto estos campos:

   • Name: un nombre único e identificativo.
   • OS: Any.
   • Authentication Profile: el perfil de autenticación que configuraste antes.
   • Authentication Message: instrucciones para los usuarios finales, como Introduce tus credenciales.

4. Ve a Agent, abre la configuración del agente y, en la pestaña Authentication, dentro de Authentication Override, marca Generate cookie for authentication override y Accept cookie for authentication override.

   

5. Haz clic en OK para guardar.

Confirmar la configuración

Haz clic en Commit para guardar la configuración RADIUS en la consola de administración de Palo Alto Networks.

Por defecto, las conexiones RADIUS salen por la interfaz de administración. Para cambiarlo, consulta la base de conocimiento de Palo Alto Networks.

Comprobación

Da acceso a los usuarios a la aplicación creada en la consola de Ironchip. Conéctate con el cliente GlobalProtect con uno de ellos: después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip.

Problemas frecuentes

• La autenticación falla por tiempo de espera: comprueba que el tiempo de espera del perfil de servidor RADIUS es 60 segundos y los reintentos 1, para dejar tiempo a que el usuario responda a Ironchip.
• El servidor RADIUS rechaza la conexión: comprueba que la IP de Palo Alto está configurada como cliente RADIUS en NPS y que el secreto compartido es el mismo en los dos lados.