اسکرین شات: صفحه ورود.
OK را فشار دهید. از تاییدیه اسکرین شات بگیرید.
مرحله 2: ایجاد مناطق امنیتی
روی ترتیب کلیک کنید:
نام: Inside_Zone
اسکرین شات: از فهرست شبکه ← مناطق که سه ناحیه را نشان می دهد، عکس بگیرید.
مرحله 3: رابط های Layer3 را پیکربندی کنید (ethernet1/1 و ethernet1/2)
دنباله کلیک کنید (Ethernet1/1 – داخل):
شبکه ← رابط ها ← اترنت ← اترنت1/1 (ردیف) را کلیک کنید
بخش: پیکربندی (برخی از نسخه‌های PAN-OS به این عنوان General/Config اشاره می‌کنند)
نوع رابط: Layer3
روتر مجازی: پیش فرض (یا VR شما)
Security Zone: Inside_Zone را انتخاب کنید
IPv4: روی IPv4 کلیک کنید، سپس روی Add → IP Address: 192.168.10.10/24 کلیک کنید.
روی OK (یا Save) در ویرایشگر رابط کلیک کنید
اسکرین شات: از صفحه رابط که نوع رابط، IP، منطقه را نشان می دهد، عکس بگیرید.
دنباله کلیک (Ethernet1/2 – خارج):
شبکه → رابط ها → اترنت → ethernet1/2 را کلیک کنید
نوع رابط: Layer3
روتر مجازی: پیش فرض
Security Zone: Outside_Zone را انتخاب کنید
IPv4: افزودن → آدرس IP: 125.16.14.22/24
روی OK / Save کلیک کنید
اسکرین شات: از صفحه اترنت 1/2 با IP خارجی و منطقه عکس بگیرید.
مرحله 4: یک رابط تونل برای GlobalProtect ایجاد کنید
روی ترتیب کلیک کنید:
شبکه → رابط ها → تونل → افزودن
نام: تونل.1
روتر مجازی: پیش فرض
منطقه امنیتی: VPN_Zone
IPv4: روی IPv4 کلیک کنید و افزودن → آدرس IP: 172.16.10.1/24 (این سمت دیوار آتش است
تونل)
روی OK / Save کلیک کنید
تصویر صفحه: پانل رابط کامل تونل که نام، VR، منطقه، IP را نشان می دهد
مرحله 5: مسیر ثابت پیش فرض
روی ترتیب کلیک کنید:
شبکه ← روترهای مجازی ← روی پیش فرض (یا VR خود) ← برگه مسیرهای ثابت ← افزودن کلیک کنید
نام: خروجی پیش فرض
مقصد: 0.0.0.0/0
پرش بعدی: آدرس IP → آدرس IP: 125.16.14.23
روی OK / Save کلیک کنید
اسکرین شات: لیست ورودی مسیر ثابت با مسیر پیش فرض قابل مشاهده است.
مرحله 6: اشیاء آدرس (سرور)
روی ترتیب کلیک کنید:
اشیاء → آدرس ها → افزودن
نام: Server1
ماسک شبکه IP: 192.168.10.45/32
به صورت اختیاری برچسب یا به یک گروه آدرس اضافه کنید
OK را فشار دهید
اسکرین شات: لیست آدرس که سرور 1 را نشان می دهد
مرحله 7: گواهی – تولید برای آزمایش (خود امضا شده)
روی ترتیب کلیک کنید:
Device → Manage Certificates → Certificates → Generate
نوع کلید / اندازه: RSA / 2048
امضا شده توسط: محلی (این یک علامت خود امضا ایجاد می کند)
روی OK / Generate کلیک کنید
تصویر صفحه: لیست گواهی که GP-selfsigned-1 را با CN 125.16.14.22 نشان می دهد
توجه: برای تولید، از گواهی امضا شده CA مرتبط با FQDN عمومی خود استفاده کنید.
مرحله 8: کاربر محلی + نمایه احراز هویت (ورود آزمایشی سریع)
یک کاربر محلی ایجاد کنید:
دستگاه → کاربران محلی → افزودن
نام کاربری: vpnuser
رمز عبور: YourStrongPassword123! (دوبار بنویس)
(به صورت اختیاری به گروه ها اضافه کنید)
OK را فشار دهید
اسکرین شات: لیستی از کاربران محلی با کاربر vpn.
ایجاد نمایه احراز هویت (پایگاه داده محلی):
دستگاه → نمایه احراز هویت → افزودن
نام: محلی-Auth
نوع: پایگاه داده محلی
ویژگی ورود: تنظیمات پیش فرض را ترک کنید
OK را فشار دهید
اسکرین شات: لیست نمایه های احراز هویت که Local-Auth را نشان می دهد.
مرحله 9: پورتال GlobalProtect (کلیک های دقیق + فیلدها)
روی ترتیب کلیک کنید:
نام: GP-Portal
بخش عمومی
رابط: اترنت 1/2 را انتخاب کنید
آدرس IP: 125.16.14.22 را انتخاب کنید (یا IP مدیریت رابط را انتخاب کنید) – بسیاری از PAN UI نشان می دهد
منوی کشویی رابط + IP
گواهی سرور: GP-selfsigned-1 را انتخاب کنید
برگه احراز هویت
نمایه احراز هویت: Local-Auth (یا افزودن → انتخاب) را انتخاب کنید
روی عامل → افزودن (یا افزودن پیکربندی عامل) کلیک کنید
نام نماینده: GP-Agent-Default
نام پیکربندی کلاینت: کلاینت پیش فرض (خودکار)
نام تنظیمات مشتری: GP-Client-Settings
سیستم عامل: همه را رها کنید (یا اگر می خواهید برای هر سیستم عامل Windows/Mac را انتخاب کنید)
تنظیمات تونل (بخش در تنظیمات مشتری):
رابط تونل: یک تونل را انتخاب کنید.1
مجموعه آدرس مشتری: 172.16.100.0/24 را وارد کنید (یا قسمت پیکربندی استخر را انتخاب کنید)
10.10.10.0/24 (یا اگر می خواهید یک تونل کامل داشته باشید از Exclude semantics استفاده کنید)
برای ذخیره تنظیمات مشتری روی OK کلیک کنید
به پیکربندی کلاینت برگردید، مطمئن شوید که تنظیمات کلاینت به عامل متصل است
برای ذخیره عامل روی OK کلیک کنید
به پورتال برگردید، روی OK کلیک کنید تا پیکربندی پورتال ذخیره شود
عکس صفحه: از صفحه پورتال > نماینده > تنظیمات مشتری که تونل را نشان می دهد، عکس بگیرید
Interface=tunnel.1 و Client Address Pool=172.16.100.0/24 و Split Tunnel شامل
10.10.10.0/24.
مرحله 10: دروازه GlobalProtect (کلیک های دقیق + فیلدها)
روی ترتیب کلیک کنید:
نام: GP-Gateway
بخش عمومی
رابط: اترنت 1/2 را انتخاب کنید
آدرس IP: 125.16.14.22 را انتخاب کنید
گواهی سرور: GP-selfsigned-1
احراز هویت / احراز هویت مشتری
تأیید اعتبار مشتری: Local-Auth را انتخاب کنید (نمایه احراز هویت که قبلاً ایجاد شده است)
اگر UI یک منوی کشویی نمایه احراز هویت را نشان می دهد – Local-Auth را انتخاب کنید
تنظیمات تونل
رابط تونل: یک تونل را انتخاب کنید.1
استخر آدرس مشتری: 172.16.100.0/24 (همان استخر دروازه)
پیکربندی مشتری (در اینجا اختیاری است)
در صورت نیاز به تنظیمات برای هر دروازه، پیکربندی مشتری را اضافه کنید. در غیر این صورت، تنظیمات عامل پورتال
پیکربندی کلی را به مشتری توزیع کنید.
برای ذخیره Gateway روی OK کلیک کنید
اسکرین شات: صفحه Gateway General که رابط، IP، گواهی سرور، تونل را نشان می دهد
Interface=tunnel.1 و مجموعه آدرس مشتری.
مرحله 11: قوانین امنیتی – فعال کردن VPN → داخلی (کلیک های دقیق)
روی ترتیب کلیک کنید:
سیاست ها → امنیت → افزودن
بخش منبع:
منطقه منبع: VPN_Zone
آدرس منبع: هر (یا یک شی Address برای 172.16.100.0/24 ایجاد کنید و آن را انتخاب کنید)
برگه مقصد:
منطقه مقصد: Inside_Zone
آدرس مقصد: Server1 (192.168.10.45/32) را انتخاب کنید
برنامه: هر (برای آزمایش) – بعداً روی برنامه های مورد نیاز قفل می شود (RDP، HTTP)
اقدام: اجازه دهید
OK را فشار دهید
اسکرین شات: ویرایشگر خط مشی که Source Zone=VPN_Zone، Destination را نشان می دهد
Zone=Internal_zone، آدرس مقصد=Server1.
مهم: مطمئن شوید که این قانون بالاتر از هر قانون صریح انصراف است
مرحله 12: قوانین NAT را بررسی کنید (مطمئن شوید VPN→Inside SNATed نیست)
روی ترتیب کلیک کنید:
اگر NAT خروجی گسترده ای دارید که با هر -> any مطابقت دارد، یک استثنا ایجاد کنید
بر آن حکومت کن:
یک قانون NAT جدید در بالا اضافه کنید
بسته اصلی / منطقه منبع: VPN_Zone
بسته اصلی / منطقه هدف: Inside_Zone
آدرس بسته/منبع اصلی: 172.16.100.0/24 (شما می توانید یک شی آدرس برای
استخر)
آدرس بسته/مقصد اصلی: 10.10.10.0/24 (یا Server1)
بسته ترجمه شده: اصلی (بدون ترجمه منبع) را انتخاب کنید یا بسته به آن، خالی بگذارید
رابط کاربری
OK را فشار دهید
تصویر صفحه: قانون NAT که استثناء بالا را نشان می دهد.
قانون NAT با VPN-> جریان داخلی مطابقت دارد. اگر شک دارید، یک قانون NAT خاص قرار دهید که این کار را انجام می دهد
هیچ ترجمه منبعی انجام نمی دهد و آن را بالاتر از هر منبع رایج NAT قرار می دهد.
مرحله 13: تغییراتی ایجاد کنید
روی ترتیب کلیک کنید:
بالا سمت راست ← تعامل ← تایید ← صبر کنید تا تعامل کامل شود
اسکرین شات: گفتگوی پیشرفت و پیام موفقیت نهایی را انجام دهید.
مرحله 14: تأیید و آزمایش (GUI + Client)
الف) از رابط گرافیکی فایروال بررسی کنید
Network → GlobalProtect → Portals → GP-Portal را باز کنید → روی مانیتور کلیک کنید یا بررسی کنید
مانیتور → GlobalProtect برای دیدن ورود به سیستم
Network → GlobalProtect → Gateways → GP-Gateway را کلیک کنید → ممکن است وجود داشته باشد
جلسات جاری یا نمای اتصال برای نمایش مشتریان فعال
مقصد = 192.168.10.45 برای تأیید اینکه ترافیک مجاز است و نشان می دهد که کدام قانون منطبق است
عکس صفحه: خط گزارش ترافیک که مجوز و نام قانون Allow_VPN_to_Inside را نشان می دهد.
ب) تست های مشتری
از یک لپ تاپ خارجی (در شبکه/اینترنت دیگر):
اگر پورتال اجازه دانلود را می دهد https://125.16.14.22
در قسمت GlobalProtect Client Portal وارد کنید: 125.16.14.22 → Connect
