Palo Alto GlobalProtect VPN einrichten mit VPN Tracker

Palo Alto GlobalProtect VPN einrichten in VPN Tracker bietet Administrator:innen eine praktische Möglichkeit, eine oder mehrere Verbindungen zu kompatiblen GlobalProtect-Portalen und -Gateways zu konfigurieren, zu testen und auszurollen. Diese Anleitung setzt voraus, dass Sie die VPN-Umgebung verwalten, und konzentriert sich auf die wesentliche Palo-Alto-Konfiguration, die genaue Zuordnung in VPN Tracker und die Prüfungen vor der Bereitstellung.

Verbindungsrichtung: Die Palo Alto Networks Firewall bzw. Prisma Access dient als Portal und Gateway für das Remote-Access-VPN. VPN Tracker ist der VPN-Client auf dem Mac.

Wichtig: GlobalProtect wird in VPN Tracker derzeit als Beta-Feature unterstützt. GlobalProtect-Installationen können sich deutlich unterscheiden. Prüfen Sie deshalb Portal, Gateway, Authentifizierung, DNS und Routing mit Ihrer tatsächlichen Umgebung, bevor Sie die Verbindung breit ausrollen.

Warum VPN Tracker statt eines reinen GlobalProtect-Clients?

Palo Alto Networks stellt einen eigenen Client für GlobalProtect-Umgebungen bereit. VPN Tracker eignet sich besonders für Apple-orientierte Unternehmen, in denen Administrator:innen mehrere Gateway-Hersteller oder VPN-Standards verwalten und dafür einen einheitlichen Bereitstellungs- und Support-Workflow benötigen.

• Mehrere VPN-Technologien in einer App: Verwalten Sie GlobalProtect gemeinsam mit IPsec, IKEv2, OpenVPN, WireGuard und weiteren unterstützten Business-VPN-Technologien, statt für jedes Gateway einen separaten Client zu pflegen.
• Sicherer Team-Rollout: Teilen Sie vorkonfigurierte Verbindungen Ende-zu-Ende-verschlüsselt, steuern Sie den Zugriff nach Team oder Gruppe, blenden Sie Verbindungsdetails aus, entziehen Sie Berechtigungen und verteilen Sie Konfigurationsänderungen zentral.
• Produktivitätsfunktionen: Je nach Tarif und Plattform vereinfachen VPN Shortcuts, AutoConnect, InfiniConnect, Verbindungsordner und gleichzeitige VPN-Verbindungen den täglichen Zugriff und den Support.
• Mac, iPhone und iPad: VPN Tracker bietet eine einheitliche, auf Apple-Geräte ausgerichtete Umgebung für unterstützte Verbindungen unter macOS, iOS und iPadOS. Protokoll- und Funktionsumfang können sich je nach Plattform unterscheiden.
• Werkzeuge für Administrator:innen: Teamverwaltung, rollenbasierter Zugriff, Onboarding-Profile, MDM-Optionen und zentrale Diagnosefunktionen helfen dabei, Bereitstellung und Fehlerbehebung zu standardisieren.

VPN Tracker ist deshalb nicht automatisch ein direkter Ersatz für jede GlobalProtect-Installation. Wenn Ihre Zugriffsrichtlinien HIP-Reports, Pre-Logon, Always On oder andere Funktionen der offiziellen Palo-Alto-App voraussetzen, müssen Sie diesen Ablauf gesondert prüfen.

Bevor Sie beginnen

Ermitteln Sie die folgenden Werte aus der vorhandenen GlobalProtect-Konfiguration und gemeinsam mit den zuständigen Teams für Identität, DNS und Routing:

• Die öffentliche Adresse des GlobalProtect-Portals, üblicherweise ein vollständiger Hostname wie vpn.example.com
• Ob die Benutzer:innen das Portal oder direkt ein bestimmtes Gateway verwenden sollen
• Das benötigte Format des Benutzernamens und gegebenenfalls die Benutzerdomäne
• Ob Benutzername und Passwort, ein Client-Zertifikat oder beides benötigt werden
• Das ausstellende CA-Zertifikat, wenn Portal oder Gateway eine interne bzw. private CA verwenden
• Die internen DNS-Server und Suchdomänen oder die Bestätigung, dass das Gateway diese automatisch übermittelt
• Die privaten Netzwerkbereiche, die über das VPN erreichbar sein sollen
• Ob SAML, ein externer Browser, MFA, HIP/Gerätestatus, Always On oder Pre-Logon vorgeschrieben sind

Wichtig: Sie benötigen Administrationszugriff auf die Palo-Alto-Konfiguration und VPN Tracker mit verfügbarem Verbindungsprofil GlobalProtect.

Unterstützte Palo-Alto-Geräte

VPN Tracker verbindet sich mit kompatiblen GlobalProtect-Portalen und -Gateways und ist nicht an ein bestimmtes Appliance-Modell gebunden. Die folgende Tabelle zeigt gängige Palo-Alto-Networks-Plattformen für Installationen mit einem oder mehreren Standorten.

Palo Alto GlobalProtect grundlegend einrichten

Wenn GlobalProtect in Ihrem Unternehmen bereits funktioniert, müssen Sie die Firewall normalerweise nicht ändern. Verwenden Sie die vorhandene Portaladresse und die für Ihre Installation dokumentierten Authentifizierungsdaten. Fahren Sie anschließend mit GlobalProtect in VPN Tracker einrichten fort.

Für eine neue Installation sind die folgenden serverseitigen Komponenten wichtig. Die Menünamen können sich je nach PAN-OS-Version sowie bei Panorama und Strata Cloud Manager unterscheiden. Verwenden Sie deshalb ergänzend die passende Dokumentation von Palo Alto Networks.

1. Öffentliche Adresse und Zertifikate vorbereiten: Richten Sie einen externen DNS-Namen für GlobalProtect ein. Das Serverzertifikat des Portals bzw. Gateways muss diesen Hostnamen als alternativen Antragstellernamen abdecken. Ein Zertifikat einer öffentlichen CA ist für Clients am einfachsten zu prüfen. Bei einer privaten CA müssen Sie das Stammzertifikat und gegebenenfalls benötigte Zwischenzertifikate sicher bereitstellen.
2. GlobalProtect-Portal konfigurieren: Binden Sie das Portal unter Network > GlobalProtect > Portals an die richtige Schnittstelle und IP-Adresse. Wählen Sie das SSL/TLS Service Profile und weisen Sie eine Client-Authentifizierung für Mac oder Any OS zu.
3. Externes Gateway konfigurieren: Konfigurieren Sie unter Network > GlobalProtect > Gateways das öffentliche Gateway, das Authentifizierungsprofil, die Tunnel-Schnittstelle und den Tunnelmodus. Der Adresspool muss für alle gleichzeitig verbundenen Benutzer:innen ausreichen.
4. Benutzer und Authentifizierung konfigurieren: Verwenden Sie ein lokales oder externes Authentifizierungsprofil, beispielsweise LDAP oder RADIUS. Falls Client-Zertifikate erforderlich sind, konfigurieren Sie ein Certificate Profile und legen fest, ob Zugangsdaten, ein Zertifikat oder beides verlangt werden.
5. Routen und DNS konfigurieren: Hinterlegen Sie in den Gateway Client Settings die Access Routes für Split-Tunneling oder konfigurieren Sie einen Full Tunnel. Tragen Sie die internen DNS-Server und DNS-Suffixe ein, die Remote-Benutzer:innen benötigen.
6. Routing und Sicherheitsrichtlinien ergänzen: Stellen Sie sicher, dass eine Rückroute zum GlobalProtect-Client-Adresspool vorhanden ist und die Security Rules Zugriffe von der GlobalProtect-Zone auf die vorgesehenen internen Netzwerke erlauben. Soll der gesamte Datenverkehr durch das VPN laufen, benötigen Sie zusätzlich passenden Internet-Egress und NAT.
7. Konfiguration übernehmen und testen: Führen Sie einen Commit durch. Prüfen Sie anschließend die externe DNS-Auflösung, die HTTPS-Erreichbarkeit des Portals, die vollständige Zertifikatskette, das für den Testbenutzer verwendete Authentifizierungsprofil sowie internes Routing und DNS.

Palo Alto Networks nennt TCP-Port 443 für die GlobalProtect-SSL-Kommunikation. Native GlobalProtect-Installationen mit optionalem IPsec-Tunnelmodus können zusätzlich UDP-Port 4501 verwenden. Prüfen Sie den tatsächlich verwendeten Transport, statt pauschal weitere Ports zu öffnen.

GlobalProtect in VPN Tracker einrichten

1. Öffnen Sie VPN Tracker und fügen Sie eine neue Verbindung hinzu
2. Wählen Sie Palo Alto Networks und den Verbindungstyp GlobalProtect
3. Klicken Sie auf Erstellen, um mit der Konfiguration loszulegen

GlobalProtect-Einstellungen VPN Tracker zuordnen

Host Name, URL or IP Address

Tragen Sie die öffentliche Adresse ein, die Benutzer:innen üblicherweise als GlobalProtect-Portaladresse verwenden, zum Beispiel https://vpn.example.com. In den meisten Installationen ist dies der FQDN des Portals, das den Client anschließend an ein passendes Gateway weiterleiten kann. Wenn Ihre Administration ausdrücklich eine direkte externe Gateway-Adresse nennt, verwenden Sie stattdessen diesen Wert.

Verwenden Sie möglichst den Hostnamen und keine reine IP-Adresse. Der Hostname muss aus dem Internet auflösbar sein und zum Serverzertifikat des Portals bzw. Gateways passen. Fügen Sie einen abweichenden HTTPS-Port nur hinzu, wenn Ihre Administration bestätigt, dass Installation und Client-Profil ihn unterstützen.

Domain

Tragen Sie eine Domäne nur ein, wenn das Authentifizierungssystem sie separat erwartet. Dies hängt üblicherweise mit User Domain und Username Modifier im Palo-Alto-Authentifizierungsprofil zusammen.

• Erwartet die Firewall nur den Benutzernamen, lassen Sie Domain leer und tragen den Benutzernamen wie vorgegeben ein.
• Erwartet die Firewall eine Active-Directory- oder Authentifizierungsdomäne, tragen Sie den Wert Ihrer Administration ein.
• Raten Sie nicht, ob user, DOMAIN\user oder user@example.com erforderlich ist. Das Authentifizierungsprofil kann die Eingabe umschreiben. Eine doppelt eingetragene Domäne führt möglicherweise zu einem Anmeldefehler.

Authentication: TLS

TLS schützt und authentifiziert die Verbindung zum GlobalProtect-Dienst. Diese Einstellung ist von Benutzername und Passwort unter User Authentication zu unterscheiden.

• Upload local certificate: Verwenden Sie diese Option nur, wenn Portal oder Gateway ein Client-Zertifikat verlangen. Importieren Sie das Benutzer- bzw. Gerätezertifikat einschließlich Zugriff auf den zugehörigen privaten Schlüssel. Das Zertifikat muss von einer CA stammen, die das Palo-Alto-Certificate-Profile akzeptiert, und die dort erwarteten Identitätsmerkmale enthalten.
• Upload CA: Verwenden Sie diese Option, wenn das Zertifikat des Portals bzw. Gateways von einer privaten CA ausgestellt wurde, der der Mac oder VPN Tracker noch nicht vertraut. Importieren Sie das CA-Zertifikat, niemals den privaten Schlüssel des Gateways. Bei öffentlich vertrauenswürdigen Serverzertifikaten ist normalerweise kein separater CA-Upload erforderlich.

Ein vorgeschriebenes Client-Zertifikat und eine private CA für das Serverzertifikat sind zwei unterschiedliche Dinge. Eine Installation kann eines davon, beides oder keines davon verwenden.

User Authentication

Wählen Sie für ein herkömmliches GlobalProtect-Authentifizierungsprofil Username + Password. Verwenden Sie das individuelle Benutzerkonto. Je nach Gateway kann das Passwortfeld auch ein Einmalpasswort oder eine Kombination aus Passwort und Token-Wert erwarten.

VPN Tracker unterstützt für GlobalProtect Passwortabfragen, browserbasierte Anmeldung, Einmalcodes, Challenge Responses und Authentication Cookies. Da sich die GlobalProtect-Unterstützung derzeit in der Beta-Phase befindet, testen Sie die vollständige Anmeldesequenz an Portal und Gateway vor einem größeren Rollout mit dem tatsächlich eingesetzten Identity Provider. Betriebssystem-SSO und Richtlinien, die speziell an die offizielle GlobalProtect-App gebunden sind, können sich anders verhalten.

Verify Remote Identifier

Lassen Sie Verify Remote Identifier aktiviert. Damit wird geprüft, ob sich der entfernte Dienst mit der für den eingetragenen Hostnamen erwarteten Identität meldet. Der öffentliche Hostname in VPN Tracker und die Namen im Serverzertifikat müssen übereinstimmen.

Schlägt die Prüfung fehl, korrigieren Sie Hostname, DNS oder Zertifikat. Die Identitätsprüfung sollte bei einer Zertifikatsabweichung nicht routinemäßig deaktiviert werden, da dies den Schutz vor einer Verbindung mit dem falschen Server schwächt.

DNS-Einstellungen

GlobalProtect-Gateways können DNS-Server und DNS-Suffixe über ihre Client Settings übermitteln. Die entsprechenden Optionen in VPN Tracker legen fest, wie der Mac diese Werte verwendet:

• Use Remote DNS Server: Aktivieren Sie diese Option, wenn interne Hostnamen von einem über das VPN erreichbaren DNS-Server aufgelöst werden müssen.
• Receive DNS Settings from VPN Gateway: Lassen Sie diese Option aktiviert, wenn das Palo-Alto-Gateway die richtigen DNS-Server und Suchdomänen liefert. Ist dies nicht der Fall, deaktivieren Sie sie und tragen die von Ihrer Administration angegebenen DNS-Werte in die verfügbaren Felder ein.
• Use DNS Server for – Search Domains (if available): Dies ist die übliche Split-DNS-Auswahl. Anfragen für interne Suchdomänen gehen an den entfernten DNS-Server; andere Anfragen können weiterhin den lokalen DNS-Dienst verwenden. Wählen Sie eine Option für alle DNS-Anfragen nur, wenn die Unternehmensrichtlinie dies verlangt.
• Use for reverse lookup of IP addresses in remote networks: Lassen Sie diese Option aktiviert, wenn der entfernte DNS-Server Reverse-DNS-Einträge für interne Adressen enthält. Dies ist für Tools hilfreich, die zu privaten IP-Adressen Hostnamen anzeigen.

Funktioniert eine interne Ressource über ihre IP-Adresse, aber nicht über ihren Namen, vergleichen Sie die DNS-Server und Suffixe in den GlobalProtect Gateway Client Settings mit den von VPN Tracker empfangenen Werten. Weitere Hinweise finden Sie in unserer Anleitung DNS für VPN-Verbindungen einrichten.

GlobalProtect-Verbindung mit Ihrem Team teilen

Nachdem jede Verbindung ihre Portal-, Gateway-, Routing-, DNS- und Authentifizierungstests bestanden hat, speichern Sie sie als VPN-Tracker-Teamverbindung, statt Konfigurationsdateien manuell zu verteilen. Verwenden Sie bei Installationen mit mehreren Standorten eindeutige Namen und Ordner für die jeweiligen Portale, Gateways, Standorte oder Kundenumgebungen. TeamCloud überträgt Verbindungen Ende-zu-Ende-verschlüsselt und ermöglicht die zentrale Verwaltung von Zugriff und Aktualisierungen.

1. Erstellen oder wählen Sie das passende VPN-Tracker-Team und fügen Sie die getestete GlobalProtect-Verbindung oder mehrere geprüfte Verbindungen hinzu.
2. Geben Sie die Verbindung nur für die benötigten Teammitglieder oder Gruppen frei. Aktivieren Sie Hide connection details for team members, wenn Empfänger:innen die Konfiguration nicht einsehen müssen.
3. Übernehmen Sie geeignete gemeinsame Infrastrukturwerte wie Portaladresse, CA-Zertifikat, DNS-Verhalten und Routen. Persönliche Passwörter, Einmalcodes und benutzerspezifische Client-Zertifikate bleiben der jeweiligen Person zugeordnet.
4. Testen Sie die Freigabe mit einem normalen Empfängerkonto. Verwenden Sie die Teamverbindung anschließend für zentrale Aktualisierungen und entziehen Sie den Zugriff bei Rollenwechsel oder Austritt.

Anleitung: Den vollständigen Ablauf mit Teamerstellung, Einladungen, Gruppen, Zero-Trust-Optionen, Aktualisierungen und dem Entfernen von Verbindungen beschreibt die ausführliche Anleitung VPN-Verbindungen mit einem Team teilen.

Palo Alto GlobalProtect in VPN Tracker: Fehlerbehebung

• Das Portal ist nicht erreichbar: Prüfen Sie, ob der öffentliche Hostname im aktuellen Netzwerk aufgelöst wird und HTTPS-Zugriff auf den Dienst erlaubt ist. Rufen Sie die exakte Portal-URL in einem Browser auf, um die grundsätzliche Erreichbarkeit zu prüfen. Eine erfolgreiche Web-Anmeldung allein beweist jedoch noch keine VPN-Kompatibilität.
• Zertifikats- oder Remote-Identifier-Fehler: Verwenden Sie den vom Zertifikat abgedeckten FQDN, prüfen Sie die vollständige Zertifikatskette und importieren Sie gegebenenfalls die richtige private CA. Ersetzen Sie den Hostnamen nicht durch eine IP-Adresse, wenn diese IP-Adresse nicht ebenfalls im Zertifikat enthalten ist.
• Benutzername oder Passwort werden abgelehnt: Prüfen Sie das erwartete Format des Benutzernamens, das Feld Domain, das für Mac bzw. Any OS ausgewählte Authentifizierungsprofil, dessen Allow List und mögliche Unterschiede zwischen Portal und Gateway.
• Eine zweite Anmeldung schlägt nach der ersten erfolgreichen Anmeldung fehl: Portal und Gateway verwenden möglicherweise unterschiedliche Profile. Alternativ erwartet die Installation ein Authentication Cookie oder ein Passwort, das nicht zweimal verwendet werden kann. Vergleichen Sie die Portal- und Gateway-Logs.
• Client-Zertifikat wird abgelehnt: Stellen Sie sicher, dass der private Schlüssel vorhanden ist, das Zertifikat zu einer vom Gateway Certificate Profile akzeptierten CA gehört, weder abgelaufen noch widerrufen ist und das erwartete Feld für Benutzer- bzw. Geräteidentität enthält.
• Verbindung steht, aber interne Ziele sind nicht erreichbar: Prüfen Sie die zugewiesene Client-Adresse, Split-Tunnel Access Routes, Security Policies, gegebenenfalls NAT und das Rückrouting zum Client-Adresspool.
• Interne Namen werden nicht aufgelöst: Prüfen Sie die vom Gateway übermittelten DNS-Server und Suffixe, aktivieren Sie Remote DNS in VPN Tracker und stellen Sie sicher, dass der interne DNS-Server selbst durch den Tunnel erreichbar ist.
• Die Verbindung funktioniert in einem Netzwerk, in einem anderen jedoch nicht: Vergleichen Sie DNS, HTTPS-Filter, Captive Portals, Proxies und Netzwerk-Firewalls. Sichern Sie das VPN-Tracker-Verbindungslog sowie die zugehörigen GlobalProtect-Portal- und Gateway-Logs, bevor Sie Sicherheitseinstellungen verändern.

Mit VPN Tracker zu Palo Alto GlobalProtect verbinden

Sobald Portaladresse, Authentifizierungsmethode, Zertifikatsvertrauen, Routen und DNS zur GlobalProtect-Installation passen, speichern Sie die Verbindung. Testen Sie anschließend den Zugriff auf einen internen Hostnamen und eine interne IP-Adresse. Führen Sie bei Team-Rollouts zunächst einen Pilotversuch mit einer kleinen Benutzergruppe durch. Aktuelle Informationen zu Kompatibilität und Download finden Sie außerdem auf der Palo Alto Networks VPN Setup Seite.