CLI を使用して Panorama テンプレートからSSL/TLSサービス プロファイルのSSL暗号を無効にする方法

• SSL/TLSプロファイルが Panorama で設定されていて、ファイアウォールでローカルに設定されていないシナリオがあります。
• 暗号の変更はCLIを使用してのみ実行できます
• Panorama テンプレートがプッシュされている場合、 SSL/TLSプロファイルからローカル ファイアウォールへの暗号を変更することはできないため、Panorama CLI を使用して変更を行い、変更をファイアウォールにプッシュする必要があります。

• パノラマ
• すべてのPalo Alto Networksファイアウォール
• PANOS 9.0.x 以降のバージョン

• Santa-Clara-PVE = テンプレート名
• 管理 = ssl-tls-serviceプロファイル名

1. Panorama CLIのコンフィグモードへのアクセス

> configure

2. 次のコマンドを入力し、最後にタブキーを押すとSSL暗号オプションが表示されます。

# set template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings
+ auth-algo-sha1         Allow authentication SHA1
+ auth-algo-sha256       Allow authentication SHA256
+ auth-algo-sha384       Allow authentication SHA384
+ enc-algo-3des          Allow algorithm 3DES
+ enc-algo-aes-128-cbc   Allow algorithm AES-128-CBC
+ enc-algo-aes-128-gcm   Allow algorithm AES-128-GCM
+ enc-algo-aes-256-cbc   Allow algorithm AES-256-CBC
+ enc-algo-aes-256-gcm   Allow algorithm AES-256-GCM
+ enc-algo-rc4           Allow algorithm RC4
+ keyxchg-algo-dhe       Allow algorithm DHE
+ keyxchg-algo-ecdhe     Allow algorithm ECDHE
+ keyxchg-algo-rsa       Allow algorithm RSA
+ max-version            max-version 
+ min-version            min-version 
  <Enter>                Finish input

3. SSL暗号を選択し、「いいえ」を選択します

# set template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings keyxchg-algo-ecdhe no

4. 変更をコミットする

# commit

5. パノラマから確認

# show template Santa-Clara-PVE config shared ssl-tls-service-profile management protocol-settings
protocol-settings {
  min-version tls1-0;
  max-version max;
  keyxchg-algo-ecdhe no;
 }
[edit]                                                                                                                                                                                   
# 

6. GUIを使用したプッシュ設定
7. ファイアウォールのCLIから設定モードで確認する

> configure
# show template shared ssl-tls-service-profile <name of the SSL-TLS profile> protocol-setting
ex
# show template shared ssl-tls-service-profile management protocol-setting
protocol-settings {   
  min-version tls1-0;
  max-version max; 
  keyxchg-algo-ecdhe no; 
 } 
[edit]                                                                                                                                #