Commit-Validierungsfehler: GlobalProtect

14161

Created On 05/14/20 00:19 AM - Last Modified 03/26/21 16:15 PM

Symptom

Wenn Sie die Firewall von einer Hauptversion auf eine PAN-OS andere Hauptversion herunterstufen, tritt ein Commit-/Validierungsfehler GlobalProtect auf:
Dies kann angezeigt werden, wenn Sie entweder versuchen, die Konfiguration mithilfe von Commit > Validate Commitzu übertragen oder zu validieren:

Environment

PAN-OS 9.1.x und darunter.
Palo Alto Firewall .
GlobalProtect konfiguriert mit nicht standardmäßigen Portal-Agent-Einstellungen.

Cause

Das Schema zwischen den Hauptversionen kann unterschiedlich sein. Das Problem kann nachverfolgt werden, indem sie durch den Pfad navigieren, auf den im Validierungsfehlerprotokoll verwiesen wird. In der obigen Meldung ist der Fehler auf die Einstellung unter : GUI Netzwerk > Portale >Agent >App :

"Allow User to Deinstall App GlobalProtect (Windows Only)" ist auf "Allow with Password" gesetzt.
Je nach der Version, auf die heruntergestuft wird, gibt es weitere potenzielle Validierungsfehler, die aufgrund anderer App-Konfigurationen auftreten können (z. B. die blau markierten und andere, die hier nicht erfasst wurden).

Resolution

Löschen Sie die App-Einstellungen CLI aus:

FW1 >configure
FW1 #delete vsys vsys2 global-protect global-protect-portal <portal> client-config configs <name> agent-ui
FW1 >exit

Hinweis:Wenn mehrere VSYS nicht konfiguriert sind, ignorieren Sie den Parameter.

Commit oder Validierung des Commit-Prozesses mit GUI : Commit > Validate Commit erfolgreich.

Additional Information

Nachdem ein Commit abgeschlossen wurde, werden einige der Agent-App-Einstellungen auf den Standardwert zurückgesetzt: