Intégration de l'appareil à Panorama
Objective
L’objectif de cet article est de documenter le processus d’intégration d’un appareil PAN-OS sur Panorama.
Environment
- PAN-OS
- Appareils gérés par Panorama
- Panorama
Procedure
Appareil exécutant une version PAN-OS inférieure à 10.1 - mode hérité
The on-boarding of the device is made by configuring:- côté Panorama : le numéro de série de l' appareil à ajouter
- côté appareil : l' adresse IP du Panorama à rejoindre
The communication between the Panorama and the managed device is secured using the legacy certificates.
Appareil exécutant PAN-OS version 10.1 ou supérieure - mode sc3
PAN-OS 10.1 introduced some improvement in the device registration to Panorama.The device on-boarding is done by configuring:
- côté Panorama : une clé d'authentification et le numéro de série de l' appareil à ajouter
- côté appareil : la clé d'authentification et adresse IP du Panorama à rejoindre
The communication between the Panorama and the managed device is secured using the sc3 certificates.
The authentication key generated on Panorama is only good during its lifetime and for a limited count.
If one of the 2 limits is meet, the authentication key cannot be used, and a new one needs to be created.
The authentication key is not saved in the configuration, so it is not synchronised over Panorama HA.
As a best practice, always do the device onboarding with the active Panorama.
Identifier la méthode d'intégration utilisée par l' appareil
Run the following command on the deviceadmin@firewall> show system state | match cfg.ms. cfg.ms.ca: 2124fdae-97a0-4dc6-81b7-e64a50fe04f4 cfg.ms.cc: 737f26c8-9d89-4c18-9cef-1bb7a20afffb
Si une réponse est renvoyée (comme ci-dessus, il y a une entrée « cfg.ms.ca » et « cfg.ms.cc »), l'intégration est effectuée conformément à la méthode PAN-OS 10.1 ou supérieure.
Remarque : il peut être possible de voir ces entrées de version PAN-OS inférieure à 10.1, ce qui signifie que l' appareil a été rétrogradé à partir de PAN-OS 10.1. Le mode sc3 a été implémenté uniquement à partir de PAN-OS 10.1.
Passer du mode hérité au mode sc3
Cette migration n'est possible que pour les appareils intégrés en mode hérité fonctionnant sur PAN-OS 10.1 ou supérieur.
Remarque : aucun journal ne sera enregistré sur Panorama pour l' appareil pendant le déplacement.
Cette opération consistera à retirer l' appareil de Panorama, puis à le rajouter.
Les journaux stockés localement sur le Panorama pour l' appareil peuvent être supprimés.
Pour ce faire :
- sur l' appareil, supprimez le Panorama de la configuration
- sur l' appareil, valider
- on the Panorama, create an authkey
This task can be done from CLI.admin@panorama> request authkey add name TAC lifetime 60 count 100 Added authkey 'TAC': '2:IST9rpegTcaBt-ZKUP4E9BeeFWnKYUbbgPoit9ptVvH0ZpU35FT-YJCiPsUz7gxhBcd5KmewMkLCC5MLwRmq2w' - on the device, set the Panorama IP address and the authkey.
Setting the authkey can be done from CLI.admin@firewall> request authkey set '2:IST9rpegTcaBt-ZKUP4E9BeeFWnKYUbbgPoit9ptVvH0ZpU35FT-YJCiPsUz7gxhBcd5KmewMkLCC5MLwRmq2w'
- sur l' appareil, valider
- on the device, restart the management-server
admin@panorama> debug software restart process management-server
Additional Information
Guide d'administration
Clé d'authentification pour une intégration sécurisée
Récupérer la connectivité des appareils gérés vers Panorama