← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-wan / configuration / third-party

Palo Alto Networks NGFW

Tento návod obsahuje podrobné pokyny ke konfiguraci firewallu Palo Alto Networks Next-Generation Firewall (NGFW) pro vytvoření tunelů IPsec VPN do Cloudflare WAN. Konfigurace byla ověřena společností Cloudflare s uvedenou verzí firmwaru a je určena síťovým administrátorům, kteří se orientují ve správě firewallů Palo Alto Networks NGFW a mají aktivní předplatné Cloudflare WAN.

• Při provádění těchto kroků nezapomeňte aktualizovat všechny názvy objektů a IP adresy tak, aby odpovídaly vašemu prostředí.
• Když tyto prvky sladíte se skutečnými konvencemi pojmenování a schématem sítě, zajistíte, že konfigurace bude v produkčním prostředí fungovat správně.
• Pomocí funkce Najít a nahradit můžete zpracovat níže uvedené příklady, odpovídajícím způsobem aktualizovat názvy a adresy a zachovat konzistenci.

• IKE Identity a Pre-shared Key (získané po vytvoření tunelu):

• IKE Identity a Pre-shared Key (získané po vytvoření tunelu):

Tento návod předpokládá, že platí následující:

• Již nakonfigurováno Tunely IPsec a statické trasy v dashboardu Cloudflare
• Cloudflare Dashboard byl použit k získání Local Identifier (FQDN/hostname) a vygenerování Pre-Shared Key pro každý z tunelů IPsec
• Pochopte důležitost omezování MSS a upravíte ji podle toků provozu procházejících tunely Cloudflare WAN IPsec
• Konfigurace Palo Alto Networks NGFW s vysokou dostupností nebo tolerancí vůči chybám jsou sice možné, ale nejsou předmětem tohoto dokumentu.

• Vytvořte Address Objects pro:
  • Virtual Tunnel Interfaces (2x): lokální (maska /31) a vzdálené (maska /32)
  • Cloudflare Anycast IP adresy (2x)
  • Lokální podsíť(ě)
  • Remote Cloudflare WAN Subnet(s)
• Create Interface Management Profile
• Vytvořte Security Zone (doporučeno)
• Definujte tunelová rozhraní
• Definujte IKE a IPsec Crypto Profiles
• Přidejte dva IKE Gateway, jeden pro každý ze dvou tunelů Cloudflare IPsec
• Přidejte dva tunely IPsec, jeden pro každý ze dvou tunelů Cloudflare IPsec
• Definujte bezpečnostní zásadu, která povolí provoz do a ze sítě Cloudflare WAN
• Definujte pravidla Policy-Based Forwarding pro selektivní směrování provozu přes IPsec tunely

Kdekoli je to možné, jsou uvedeny příklady jak pro rozhraní příkazové řádky (CLI), tak pro webové UI.

Definujte Address Objects, které budou v celé zbývající části konfigurace reprezentovat páry atribut/hodnota.

set address cf_wan_anycast_01 ip-netmask 162.159.135.1
set address cf_wan_anycast_02 ip-netmask 172.64.135.1
set address cf-wan-ipsec-vti-01-local ip-netmask 169.254.250.1/31
set address cf-wan-ipsec-vti-02-local ip-netmask 169.254.250.3/31
set address cf-wan-ipsec-vti-01-remote ip-netmask 169.254.250.0/32
set address cf-wan-ipsec-vti-02-remote ip-netmask 169.254.250.2/32
set address lan-net-192-168-125-0--24 ip-netmask 192.168.125.0/24
set address internet_203-0-113-100--24 ip-netmask 203.0.113.100/24

1. Přejděte na Objekty > Adresy.
2. Vyberte Přidat.
3. Vytvořit objekty typu IP Netmask pro následující sítě:
   • cf_wan_anycast_01: zadejte 162.159.135.1 (nebo 162.159.135.1/32)
   • cf_wan_anycast_02: zadejte 172.64.135.1 (nebo 172.64.135.1/32)
   • cf-wan-ipsec-vti-01-local: zadejte 169.254.250.1/31
   • cf-wan-ipsec-vti-02-local: zadejte 169.254.250.3/31
   • cf-wan-ipsec-vti-01-remote: zadejte 169.254.250.0 (nebo 169.254.250.0/32)
   • cf-wan-ipsec-vti-02-remote: zadejte 169.254.250.2 (nebo 169.254.250.2/32)

Umožňuje příslušným síťovým rozhraním odpovídat na pingy (ICMP Echo Request). To je nutné k tomu, aby kontroly stavu tunelu Cloudflare WAN mohly ověřit dostupnost napříč Virtual Tunnel Interfaces.

set network profiles interface-management-profile allow_ping ping yes

1. Přejděte na Síť > Network Profiles > Interface Mgmt.
2. Vyberte Přidat.
3. Název: allow_ping
4. Vyberte Ping v části Network Services.
5. Vyberte OK.

Přidejte dvě tunelová rozhraní, jedno pro každý ze dvou tunelů Cloudflare IPsec.

Poznámka: Postupy pro CLI a webové rozhraní se mohou lišit.

Přidejte dvě tunelová rozhraní s využitím dříve nakonfigurovaných objektů Address a profilu Interface Management Profile.

set network interface tunnel units tunnel.1 ip cf-wan-ipsec-vti-01-local
set network interface tunnel units tunnel.1 interface-management-profile allow_ping

set network interface tunnel units tunnel.2 ip cf-wan-ipsec-vti-02-local
set network interface tunnel units tunnel.2 interface-management-profile allow_ping

Přiřaďte obojí tunnel rozhraní k výchozímu Virtual Router:

set network virtual-router default interface tunnel.1
set network virtual-router default interface tunnel.2

Vytvořte cloudflare zónu zabezpečení, pokud ještě neexistuje, a přiřaďte tunnel.1 a tunnel.2 rozhraní.

set zone cloudflare network layer3  [ tunnel.1 tunnel.2 ]

1. Přejděte na Síť > Rozhraní > Tunnel.
2. Vyberte Přidat.
3. Do pole napravo od "Interface Name" zadejte 1.
4. Config Tab > Virtual Router: default.
5. Config Tab > Security Zone: cloudflare (nebo přiřaďte k trust na základě vaší bezpečnostní zásady).
6. IPv4 Tab > Select cf-wan-ipsec-vti-01-local z rozbalovací nabídky.
7. Advanced tab > Management Profile: allow_ping.
8. Vyberte OK.

Opakujte kroky pro tunel 2

1. Přejděte na Síť > Rozhraní > Tunnel.
2. Vyberte Přidat.
3. Do pole napravo od "Interface Name" zadejte 2.
4. Config Tab > Virtual Router: default.
5. Config Tab > Security Zone: cloudflare (nebo přiřaďte k trust na základě vaší bezpečnostní zásady).
6. IPv4 Tab > Select cf-wan-ipsec-vti-02-local z rozbalovací nabídky.
7. Advanced tab > Management Profile: allow_ping.
8. Vyberte OK.

Definujte IKE Crypto Profile s následujícím nastavením:

set network ike crypto-profiles ike-crypto-profiles ike-aes256cbc-sha256-dh20 hash sha256
set network ike crypto-profiles ike-crypto-profiles ike-aes256cbc-sha256-dh20 dh-group group20
set network ike crypto-profiles ike-crypto-profiles ike-aes256cbc-sha256-dh20 encryption aes-256-cbc
set network ike crypto-profiles ike-crypto-profiles ike-aes256cbc-sha256-dh20 lifetime hours 8

1. Přejděte na Síť > Network Profiles > IKE Crypto.
2. Vyberte Přidat.
3. Název: ike-aes256cbc-sha256-dh20
4. DH Group: group20
5. Ověřování: sha256
6. Šifrování: aes-256-cbc
7. Timers - Key Lifetime: 8 hours

Každý tunel bude mít svůj vlastní Pre-Shared Key a Local ID (FQDN/hostname), tyto hodnoty nezapomeňte získat/aktualizovat z Cloudflare Dashboard.

set network ike gateway cf-wan-ike-gw-01 authentication pre-shared-key key "Cloudflare-WAN-T1-PSK-1234!"
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 pq-ppk enabled no
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 pq-ppk negotiation-mode preferred
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 pq-kem enable no
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 pq-kem block-vulnerable-cipher yes
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 ikev2-fragment enable no
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 dpd enable yes
set network ike gateway cf-wan-ike-gw-01 protocol ikev2 ike-crypto-profile ike-aes256cbc-sha256-dh20
set network ike gateway cf-wan-ike-gw-01 protocol ikev1 dpd enable yes
set network ike gateway cf-wan-ike-gw-01 protocol version ikev2
set network ike gateway cf-wan-ike-gw-01 local-address interface ethernet1/1 ip internet_203-0-113-100--24
set network ike gateway cf-wan-ike-gw-01 protocol-common nat-traversal enable no
set network ike gateway cf-wan-ike-gw-01 protocol-common fragmentation enable no
set network ike gateway cf-wan-ike-gw-01 peer-address ip cf_wan_anycast_01
set network ike gateway cf-wan-ike-gw-01 local-id type fqdn id "bf6c493d03<REDACTED>.ipsec.cloudflare.com"

set network ike gateway cf-wan-ike-gw-02 authentication pre-shared-key key "Cloudflare-WAN-T2-PSK-1234!"
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 pq-ppk enabled no
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 pq-ppk negotiation-mode preferred
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 pq-kem enable no
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 pq-kem block-vulnerable-cipher yes
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 ikev2-fragment enable no
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 dpd enable yes
set network ike gateway cf-wan-ike-gw-02 protocol ikev2 ike-crypto-profile ike-aes256cbc-sha256-dh20
set network ike gateway cf-wan-ike-gw-02 protocol ikev1 dpd enable yes
set network ike gateway cf-wan-ike-gw-02 protocol version ikev2
set network ike gateway cf-wan-ike-gw-02 local-address interface ethernet1/1 ip internet_203-0-113-100--24
set network ike gateway cf-wan-ike-gw-02 protocol-common nat-traversal enable no
set network ike gateway cf-wan-ike-gw-02 protocol-common fragmentation enable no
set network ike gateway cf-wan-ike-gw-02 peer-address ip cf_wan_anycast_02
set network ike gateway cf-wan-ike-gw-02 local-id type fqdn id "0287844e9d<REDACTED>.ipsec.cloudflare.com"

1. Přejděte na Síť > Network Profiles > IKE Gateways.
2. Vyberte Přidat.
3. Název: cf-wan-ike-gw-01
4. Verze: IKEv2 only mode
5. Typ adresy: IPv4
6. Rozhraní: ethernet1/1
7. Lokální IP adresa: internet_203-0-113-100--24
8. Typ IP adresy peer: IP
9. Ověřování: Pre-Shared Key
10. Zadejte Pre-shared key a potvrďte hodnotu (najdete ji v Cloudflare Dashboard).
11. Lokální identifikace: FQDN (hostname) (hodnotu FQDN pro Tunnel 1 získáte z Cloudflare Dashboardu).
12. Advanced Options tab > General > IKE Crypto Profile: ike-aes256cbc-sha256-dh20.
13. Vyberte OK.

Opakujte kroky pro tunel 2

1. Přejděte na Síť > Network Profiles > IKE Gateways.
2. Vyberte Přidat.
3. Název: cf-wan-ike-gw-02
4. Verze: IKEv2 only mode
5. Typ adresy: IPv4
6. Rozhraní: ethernet1/1
7. Lokální IP adresa: internet_203-0-113-100--24
8. Typ IP adresy peer: IP
9. Ověřování: Pre-Shared Key
10. Zadejte Pre-shared key a potvrďte hodnotu (najdete ji v Cloudflare Dashboard).
11. Lokální identifikace: FQDN (hostname) (hodnotu FQDN pro Tunnel 2 získáte z Cloudflare Dashboardu).
12. Advanced Options tab > General > IKE Crypto Profile: ike-aes256cbc-sha256-dh20.
13. Vyberte OK.

Definujte IPsec Crypto Profile s následujícím nastavením:

set network ike crypto-profiles ipsec-crypto-profiles ipsec-aes256cbc-sha256-dh20 esp authentication sha256
set network ike crypto-profiles ipsec-crypto-profiles ipsec-aes256cbc-sha256-dh20 esp encryption aes-256-cbc
set network ike crypto-profiles ipsec-crypto-profiles ipsec-aes256cbc-sha256-dh20 lifetime hours 8
set network ike crypto-profiles ipsec-crypto-profiles ipsec-aes256cbc-sha256-dh20 dh-group group20

1. Přejděte na Síť > Network Profiles > IPsec Crypto.
2. Vyberte Přidat.
3. Název: ipsec-aes256cbc-sha256-dh20
4. IPsec Protocol: ESP
5. Šifrování: aes-256-cbc
6. Ověřování: sha256
7. DH Group: group20
8. Lifetime (Hours): 8

• Tunnel 1

set network tunnel ipsec cf-wan-ipsec-tun-01 auto-key ike-gateway cf-wan-ike-gw-01
set network tunnel ipsec cf-wan-ipsec-tun-01 auto-key ipsec-crypto-profile ipsec-aes256cbc-sha256-dh20
set network tunnel ipsec cf-wan-ipsec-tun-01 tunnel-monitor enable no
set network tunnel ipsec cf-wan-ipsec-tun-01 tunnel-interface tunnel.1
set network tunnel ipsec cf-wan-ipsec-tun-01 anti-replay no

set network tunnel ipsec cf-wan-ipsec-tun-02 auto-key ike-gateway cf-wan-ike-gw-02
set network tunnel ipsec cf-wan-ipsec-tun-02 auto-key ipsec-crypto-profile ipsec-aes256cbc-sha256-dh20
set network tunnel ipsec cf-wan-ipsec-tun-02 tunnel-monitor enable no
set network tunnel ipsec cf-wan-ipsec-tun-02 tunnel-interface tunnel.2
set network tunnel ipsec cf-wan-ipsec-tun-02 anti-replay no

1. Přejděte na Síť > Tunely IPsec.
2. Vyberte Přidat.
3. Název: cf-wan-ipsec-tun-01
4. Rozhraní tunelu: tunnel.1
5. Typ: Auto Key
6. Typ adresy: IPv4
7. IKE Gateway: cf-wan-ike-gw-01
8. IPsec Crypto Profile: ipsec-aes256cbc-sha256-dh20
9. Zobrazit pokročilé možnosti: zaškrtněte políčko.
10. Zrušte zaškrtnutí Enable Replay Protection.
11. IPsec Mode: Tunnel

Opakujte kroky pro tunel 2

1. Přejděte na Síť > Tunely IPsec.
2. Vyberte Přidat.
3. Název: cf-wan-ipsec-tun-02
4. Rozhraní tunelu: tunnel.2
5. Typ: Auto Key
6. Typ adresy: IPv4
7. IKE Gateway: cf-wan-ike-gw-02
8. IPsec Crypto Profile: ipsec-aes256cbc-sha256-dh20
9. Zobrazit pokročilé možnosti: zaškrtněte políčko.
10. Zrušte zaškrtnutí Enable Replay Protection.
11. IPsec Mode: Tunnel

Toto je vhodné místo, kde se zastavit a provést Commit a použijte nastavení konfigurace. Poté byste měli být schopni ověřit, že je připojení tunelu navázáno.

1. Přejděte na Síť > Tunely IPsec.

Stav červených a zelených indikátorů zobrazíte tak, že vyberete Tunnel Info a Informace IKE a získat indikátory stavu v reálném čase.

1. Přejděte na Sledovat > Protokoly > Systém.
2. Do filtrovacího a vyhledávacího dialogu v horní části přidejte následující: ( subtype eq vpn )

Tím získáte cenné informace o stavu IKE/IPsec Phase 1 a Phase 2 a o chybových hláškách.

Palo Alto Networks NGFW automaticky povoluje provoz, který pochází ze stejné zóny a směřuje do stejné zóny (provoz uvnitř zóny). Pokud jste se rozhodli přidat tunnel.1 a tunnel.2 do samostatné Security Zone budete potřebovat explicitní pravidla firewallu, která povolí tok provozu z trust na cloudflare a také z cloudflare na trust.

Použijte move rulebase security rules <RULE_NAME> [after|before|top|bottom] <RULE_NAME - Desired position>

set rulebase security rules trust-to-cloudflare to cloudflare
set rulebase security rules trust-to-cloudflare from trust
set rulebase security rules trust-to-cloudflare source any
set rulebase security rules trust-to-cloudflare destination any
set rulebase security rules trust-to-cloudflare application any
set rulebase security rules trust-to-cloudflare service application-default
set rulebase security rules trust-to-cloudflare action allow
set rulebase security rules trust-to-cloudflare log-start no
set rulebase security rules trust-to-cloudflare log-end yes
set rulebase security rules trust-to-cloudflare rule-type universal

1. Přejděte na Zásady > Security.
2. Vyberte Přidat.
3. General > Name: trust-to-cloudflare
4. Typ pravidla: universal (default) nebo interzone
5. Source > Source Zone: trust
6. Cíl > Cílová zóna: cloudflare
7. Application > Any
8. Služba/Kategorie URL > application-default
9. Actions > Action setting: Allow
10. Nastavení protokolu: Log at Session End

Použijte move rulebase security rules <RULE_NAME> [after|before|top|bottom] <RULE_NAME - Desired position>

set rulebase security rules cloudflare-to-trust to trust
set rulebase security rules cloudflare-to-trust from cloudflare
set rulebase security rules cloudflare-to-trust source any
set rulebase security rules cloudflare-to-trust destination any
set rulebase security rules cloudflare-to-trust application any
set rulebase security rules cloudflare-to-trust service application-default
set rulebase security rules cloudflare-to-trust action allow
set rulebase security rules cloudflare-to-trust log-start no
set rulebase security rules cloudflare-to-trust log-end yes
set rulebase security rules cloudflare-to-trust rule-type universal

1. Přejděte na Zásady > Security.
2. Vyberte Přidat.
3. General > Name: cloudflare-to-trust
4. Typ pravidla: universal (default) nebo interzone
5. Source > Source Zone: cloudflare
6. Cíl > Cílová zóna: trust
7. Application > Any
8. Služba/Kategorie URL > application-default
9. Actions > Action setting: Allow
10. Nastavení protokolu: Log at Session End

Policy Based Forwarding ↗ (také známé jako Policy-Based Routing) umožňuje použít další kritéria shody pro konkrétní datové toky, která přepíšou trasy definované ve Virtual Router.

Provoz přes Cloudflare WAN možná chcete směrovat pouze tehdy, pokud míří na jinou pobočku Cloudflare WAN, zatímco provoz směřující do internetu se nadále přeposílá přímo přes místní internetový breakout.

Následující příklad směruje ALL provoz z podsítě LAN za NGFW (192.168.125.0/24) přes tunely Cloudflare WAN IPsec. Díky tomu můžete využívat funkce Cloudflare Secure Web Gateway.

Provoz můžete směrovat na konkrétní cíle jednoduše přidáním podsítí do kritérií shody Destination.

Ujistěte se, že veškerý provoz zpracovávaný funkcí Policy Based Forwarding je vyňat ze zásad NAT. Cloudflare Gateway zajistí, že se NAT použije na provoz směřující do internetu, aniž by bylo nutné nastavovat zásadu na lokálních zařízeních.

• Tunnel 1

set rulebase pbf rules cf-wan-to-internet-01 action forward nexthop ip-address cf-wan-ipsec-vti-01-remote
set rulebase pbf rules cf-wan-to-internet-01 action forward egress-interface tunnel.1
set rulebase pbf rules cf-wan-to-internet-01 from zone trust
set rulebase pbf rules cf-wan-to-internet-01 enforce-symmetric-return enabled no
set rulebase pbf rules cf-wan-to-internet-01 source lan-net-192-168-125-0--24
set rulebase pbf rules cf-wan-to-internet-01 destination any
set rulebase pbf rules cf-wan-to-internet-01 source-user any
set rulebase pbf rules cf-wan-to-internet-01 application any
set rulebase pbf rules cf-wan-to-internet-01 service any

• Tunnel 2

set rulebase pbf rules cf-wan-to-internet-02 action forward nexthop ip-address cf-wan-ipsec-vti-02-remote
set rulebase pbf rules cf-wan-to-internet-02 action forward egress-interface tunnel.2
set rulebase pbf rules cf-wan-to-internet-02 from zone trust
set rulebase pbf rules cf-wan-to-internet-02 enforce-symmetric-return enabled no
set rulebase pbf rules cf-wan-to-internet-02 source lan-net-192-168-125-0--24
set rulebase pbf rules cf-wan-to-internet-02 destination any
set rulebase pbf rules cf-wan-to-internet-02 source-user any
set rulebase pbf rules cf-wan-to-internet-02 application any
set rulebase pbf rules cf-wan-to-internet-02 service any

• Tunnel 1:

1. Přejděte na Zásady > Policy Based Forwarding.
2. Vyberte Přidat.
3. Název: cf-wan-to-internet-01
4. Zdrojová zóna: trust
5. Source Address: lan-net-192-168-125-0--24
6. Destination/Application/Service - Any/Any/Any
7. Forwarding > Action: Forward, Egress Interface: tunnel.1, Next Hop - IP Address: cf-wan-ipsec-vti-01-remote

• Tunnel 2:

1. Přejděte na Zásady > Policy Based Forwarding.
2. Vyberte Přidat.
3. Název: cf-wan-to-internet-02
4. Zdrojová zóna: trust
5. Source Address: lan-net-192-168-125-0--24
6. Destination/Application/Service - Any/Any/Any
7. Forwarding > Action: Forward, Egress Interface: tunnel.2, Next Hop - IP Address: cf-wan-ipsec-vti-02-remote

Potvrďte změny a poté otestujte provoz z hostitele v podsíti 192.168.125.0/24, abyste se ujistili, že je směrován přes tunely Cloudflare WAN IPsec.

• Vždy zkontrolujte, zda proběhlo úspěšné vyjednání IKE Phase 1 a IPsec Phase 2: v protokolech hledejte zprávu "no proposal chosen"
• Ověřte, že jsou hodnoty Pre-Shared-Key a/nebo Local-Identity správné a přiřazené ke správnému tunelu
• Pomocí ping zjistěte dostupnost mezi stranou CPE a stranou Cloudflare u VTI
  • Tunnel 1: CPE VTI do Cloudflare VTI: ping source 169.254.250.1 169.254.250.0
  • Tunnel 2: CPE VTI do Cloudflare VTI: ping source 169.254.250.3 169.254.250.2

Použijte Zobrazit ↗ příkazy pro zobrazení bezpečnostních asociací fáze 1 a fáze 2:

admin@panfw01> show vpn ike-sa

IKEv2 SAs
Gateway ID      Peer-Address       Gateway Name       Role SN    Algorithm             Established     Expiration      Xt Child  ST
----------      ------------       ------------       ---- --    ---------             -----------     ----------      -- -----  --
1               162.159.135.1      cf-wan-ike-gw-01   Init 46    PSK/DH14/A256/SHA256  Mar.22 23:14:24 Mar.23 07:14:24 0  1      Established
2               172.64.135.1       cf-wan-ike-gw-02   Init 45    PSK/DH14/A256/SHA256  Mar.22 23:05:02 Mar.23 07:05:02 0  1      Established

IKEv2 IPSec Child SAs
Gateway Name                   TnID     Tunnel                     ID       Parent   Role SPI(in)  SPI(out) MsgID    ST              
------------                   ----     ------                     --       ------   ---- -------  -------- -----    --              
cf-wan-ike-gw-01               1        cf-wan-ipsec-tun-01        452741   97       Init B7D055D3 4CB26B43 00000001 Mature           
cf-wan-ike-gw-02               2        cf-wan-ipsec-tun-02        452742   98       Init B4629A07 165D416C 00000001 Mature           

Show IKEv2 SA: Total 2 gateways found. 2 ike sa found.

Použijte test ↗ příkazy pro vynucení bezpečnostních asociací fáze 1 a fáze 2:

admin@panfw01> test vpn ike-sa gateway cf-wan-ike-gw-01 

Start time: Mar.30 21:23:23
Initiate 1 IKE SA.

admin@panfw01> test vpn ike-sa gateway cf-wan-ike-gw-02

Start time: Mar.30 21:23:24
Initiate 1 IKE SA.

admin@panfw01> test vpn ipsec-sa tunnel cf-wan-ipsec-tun-01 

Start time: Mar.30 21:26:50
Initiate 1 IPSec SA for tunnel cf-wan-ipsec-tun-01.

admin@panfw01> test vpn ipsec-sa tunnel cf-wan-ipsec-tun-02

Start time: Mar.30 21:26:52
Initiate 1 IPSec SA for tunnel cf-wan-ipsec-tun-02.

• Odstraňování problémů s připojením tunelu IPSec VPN ↗

• Odstraňování problémů se site-to-site VPN pomocí CLI ↗

• Jak řešit problémy s připojením IPSec VPN ↗