Cómo deshabilitar los cifrados SSL para el Perfil de servicio SSL/TLS desde la plantilla Panorama mediante CLI

• Hay escenarios en los que el perfil SSL/TLS se ha configurado en Panorama y no localmente en Firewall
• La modificación de cifrados solo se puede realizar mediante CLI
• Dado que no es posible modificar los cifrados del perfil SSL/TLS al firewall local cuando se ha enviado la plantilla Panorama, la modificación debe realizarse mediante la CLI de Panorama y enviar las modificaciones al firewall.

• Panorama
• Todos los firewalls de Palo Alto Networks
• PANOS 9.0.x y versiones superiores

• Santa-Clara-PVE = Nombre de la plantilla
• gestión = nombre del perfil del servicio ssl-tls

1. Acceso al modo de configurar en Panorama CLI

> configure

2. Escriba el siguiente comando y presione la tecla de tabulación al final para ver las opciones de cifrado SSL

# set template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings
+ auth-algo-sha1         Allow authentication SHA1
+ auth-algo-sha256       Allow authentication SHA256
+ auth-algo-sha384       Allow authentication SHA384
+ enc-algo-3des          Allow algorithm 3DES
+ enc-algo-aes-128-cbc   Allow algorithm AES-128-CBC
+ enc-algo-aes-128-gcm   Allow algorithm AES-128-GCM
+ enc-algo-aes-256-cbc   Allow algorithm AES-256-CBC
+ enc-algo-aes-256-gcm   Allow algorithm AES-256-GCM
+ enc-algo-rc4           Allow algorithm RC4
+ keyxchg-algo-dhe       Allow algorithm DHE
+ keyxchg-algo-ecdhe     Allow algorithm ECDHE
+ keyxchg-algo-rsa       Allow algorithm RSA
+ max-version            max-version 
+ min-version            min-version 
  <Enter>                Finish input

3. Seleccione el cifrado SSL y luego seleccione "no"

# set template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings keyxchg-algo-ecdhe no

4. Confirmar cambios

# commit

5. Verificar desde Panorama

# show template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings
protocol-settings {
  min-version tls1-0;
  max-version max;
  keyxchg-algo-ecdhe no;
 }
[edit]                                                                                                                                                                                   
# 

6. configuración push mediante GUI
7. Verificar desde la CLI del Firewall en modo de configuración

> configure
# show template shared ssl-tls-service-profile <name of the SSL-TLS profile> protocol-setting
ex
# show template shared ssl-tls-service-profile management protocol-setting
protocol-settings {   
  min-version tls1-0;
  max-version max; 
  keyxchg-algo-ecdhe no; 
 } 
[edit]                                                                                                                                #