WildFire 登録は ctx から x509 証明書を検証できませんでした
22013
Created On 04/29/19 16:11 PM - Last Modified 03/26/21 17:39 PM
Symptom
WildFire mp/varrcvr で以下のエラーが発生し、登録に失敗.log。
admin@PA-VM> tail follow yes mp-log varrcvr.log
2019-04-13 02:15:34.043 -0600 Error: verify_cb(pan_ssl_curl_utils.c:630): Basic Validation of x509 cert Fail ; Code : 19
2019-04-13 02:15:34.043 -0600 Error: verify_cb(pan_ssl_curl_utils.c:633): Issuer = /CN=FN-W-MCCA-CA
2019-04-13 02:15:34.043 -0600 Error: verify_cb(pan_ssl_curl_utils.c:636): Subject = /CN=FN-W-MCCA-CA
2019-04-13 02:15:34.043 -0600 Error: verify_cb(pan_ssl_curl_utils.c:639): Failed to validate x509 cert from ctx: (19) self signed certificate in certificate chainCause
このエラーは、アップストリーム デバイスがへの接続を復号化している場合 (通常は firewall プロキシ) に発生 WildFire します。 SSLパロアルトの「復号化除外」リストには wildfire *.paloaltonetworks.com WildFire パロアルトネットワークスが復号化を行っているときに通信を復号化することを避けるためにデフォルトで追加 firewall されました。
Resolution
*を追加 wildfire します。上 SSL 流デバイスの復号化除外リストに paloaltonetworks.com して問題を解決します。
Additional Information
復号化の対象に関する追加情報については、次の記事を参照してください: https://docs.paloaltonetworks.com/ pan-os /8-1/ pan-os -admin/decryption/decryption-exclusions.html