Comment utiliser un Cert Wildcard SSL avec des noms alternatifs de sujet pour GlobalProtect portal/gateway
90733
Created On 09/25/18 19:47 PM - Last Modified 04/19/21 16:42 PM
Environment
- Palo Alto Networks Firewall (physique ou virtuel)
Resolution
Ce document décrit comment utiliser un certificat wildcard (multi-domaine) avec un nom commun et des noms alternatifs de sujet SAN () pour d’autres domaines protégés. Les DNS noms de Portal et de chaque passerelle sont GlobalProtect GlobalProtect supposés être répertoriés comme SANs.
- Créez un CA certificat racine en naviguant vers les certificats de gestion > de certificat d'> et en sélectionnant Add
Remarque : Assurez-vous que la case à cocher à côté de « Certificate Authority » est sélectionnée pour confirmer qu’il s’agit d’un CA certificat
- Créez un nouveau certificat de feuille en spécifier les paramètres appropriés, assurez-vous qu’il est signé par le certificat CA racine généré ci-dessus, et sélectionnez Générer. Il s’agit du certificat wildcard utilisé pour le GlobalProtect portail et la passerelle. Par exemple:
Nom: GP- Cert
Nom commun: *.example.com
Nom alternatif du sujet: DNS Name=vpn1.example.com, DNS Name=vpn2.example.com
Remarque : Si GlobalProtect Portal et Gateway partagent la même adresse IP (c’est-à-dire que l’interface Palo Alto Networks firewall est configurée comme portail et passerelle), un seul nom d’hôte peut être utilisé pour l’adresse IP partagée. Pour cet exemple, le nom d’hôte du portail et passerelle serait : vpn2.example.com.
- (Facultatif) Si nécessaire, vous pouvez importer les certificats sous le cache de certificat du portail et de chaque GlobalProtect firewall GlobalProtect pare-feu Gateway (dans une configuration multi-passerelles) en naviguant vers les certificats de gestion de certificat > > de l’appareil > uneannonce sélectionnant Import
- Appliquez le certificat de serveur au profil SSL de service et de service approprié en TLS naviguant sur l'> de gestion des certificats > SSL / Profil de service TLS > et en sélectionnant le profil approprié. Choisissez ensuite le certificat serveur nouvellement créé dans le menu dropdown tel qu’indiqué ci-dessous et choisissez OK :
- Engagez vos modifications et confirmez que vous êtes en mesure de vous connecter avec succès
Additional Information
- Pour plus de ressources concernant le déploiement d’une seule et de plusieurs passerelles, veuillez consulter le document suivant : GlobalProtect Liste des ressources sur la configuration et le dépannage
- Pour GlobalProtect obtenir les meilleures pratiques en matière de certificat, veuillez consulter le document suivant : Pratiques exemplaires du GlobalProtect certificat