So verwenden Sie ein SSL Wildcard-Zertifikat mit alternativen Betreffnamen für GlobalProtect Portal/Gateway
90743
Created On 09/25/18 19:47 PM - Last Modified 04/19/21 16:42 PM
Environment
- Palo Alto Networks Firewall (physisch oder virtuell)
Resolution
In diesem Dokument wird beschrieben, wie Sie ein Platzhalterzertifikat (Multi-Domain-Zertifikat) mit einem gemeinsamen Namen und alternativen Antragstellernamen ( SAN ) für andere geschützte Domänen verwenden. Es wird davon ausgegangen, dass die DNS Namen für Portal und jedes Gateway als GlobalProtect GlobalProtect SANs aufgeführt werden.
- Erstellen eines CA Stammzertifikats, indem Sie zur Geräteverwaltung > zertifikatsverwaltung > Zertifikaten navigieren und Add auswählen.
Hinweis: Stellen Sie sicher, dass das Kontrollkästchen neben "Zertifizierungsstelle" aktiviert ist, um zu bestätigen, dass es sich um ein CA Zertifikat handelt.
- Erstellen Sie ein neues Blattzertifikat, indem Sie die richtigen Parameter angeben, stellen Sie sicher, dass es mit dem oben generierten Stammzertifikat signiert CA ist, und wählen Sie Generierenaus. Dies ist das Platzhalterzertifikat, das für das Portal und Gateway verwendet GlobalProtect wird. Beispiel:
Name: GP- Cert
Common Name: *.example.com
Subject Alternative Name: DNS Name=vpn1.example.com, DNS Name=vpn2.example.com
Hinweis: Wenn GlobalProtect Portal und Gateway dieselbe Adresse verwenden IP (d. h. die Palo Alto firewall Networks-Schnittstelle ist sowohl als Portal als auch als Gateway konfiguriert), kann ein einzelner Hostname für die freigegebene Adresse verwendet IP werden. In diesem Beispiel wäre das Portal und Gateway Hostname: vpn2.example.com.
- (Optional) Bei Bedarf können Sie die Zertifikate unter den Zertifikatcache des GlobalProtect Portals firewall und jeder GlobalProtect Gateway-Firewall (in einem Multi-Gateway-Setup) importieren, indem Sie zu Device > Zertifikatverwaltung > Zertifikaten > einemnd navigieren, der Import auswählt.
- Wenden Sie das Serverzertifikat auf das richtige /Dienstprofil an, indem Sie SSL zu Device > Certificate Management > / Service Profile TLS SSL TLS > navigieren und das richtige Profil auswählen. Wählen Sie dann das neu erstellte Serverzertifikat aus dem Dropdown-Menü aus, wie unten gezeigt, und wählen OK Sie:
- Übernehmen Sie Ihre Änderungen und bestätigen Sie, dass Sie eine verbindung erfolgreich herstellen können
Additional Information
- Weitere Ressourcen zur Bereitstellung von Einzel- und Mehreren Gateways finden Sie im folgenden Dokument: GlobalProtect Ressourcenliste zum Konfigurieren und Beheben von Problemen
- Bewährte Methoden für Zertifikate finden GlobalProtect Sie im folgenden Dokument: Best Practices für GlobalProtect Zertifikate