Commit Failure mit dem Fehler "Zertifikatfehler, Konfiguration wird zurückgesetzt"

• Nach der Konfiguration der sicheren Kommunikation mit benutzerdefiniertem Zertifikat schlägt der Commit fehl und wird zurückgesetzt.
• In der Firewall schlägt der Commitauftrag aus folgendem Grund fehl:

Reason: Certificate error, reverting configuration

• In configd.log (abzüglich mp-log configd.log) wird der folgende Fehler angezeigt.

-0700 [secure_conn] Verification of Server cert was unsuccessful
-0700 [secure_conn] Verification of Server cert was successful
-0700 Warning: pan_cmsa_tcp_channel_setup(cms_agent.c:1511): cmsa: using secure_conn_ctx
-0700 Error: pan_sec_conn_client_validation_impl(pan_sec_conn_client.c:455): [Secure conn verify result] Certificate verification failed due to Error 26 : unsupported certificate purpose 
-0700 Error: pan_cmsa_tcp_channel_setup(cms_agent.c:1741): ACR: Failed to verify certificate
-0700 ACR: Panorama connectivity check failed for <Panorama Address>. Reason: Certificate error, reverting configuration
-0700 ACR: Post-commit connectivity check failed, beginning to revert config

• Von Panorama verwaltete PA-Firewalls
• PAN-OS 10.2 sowohl auf Firewall als auch auf Panorama
• Sichere Kommunikation zwischen Firewall und Panorama mit benutzerdefiniertem Zertifikat

Panorama:

• Unter GUI: Panorama > Zertifikatsverwaltung > Zertifikate wird "FW_cert" wie folgt generiert
• Dieses Zertifikat wird unter der GUI verwendet: Einstellung "Device > Setup > Management" > "Sichere Kommunikation" > "Sichere Serverkommunikation anpassen"

• Unter GUI: Geräte- > Zertifikatsverwaltung > Zertifikate wird "FW_cert" aus der Panorama-Vorlage übertragen.
• Dieses Zertifikat wird verwendet GUI: Panorama > Setup > Management > Secure Communication-Einstellung > Zertifikat

• Da sowohl für Panorama als auch für Firewall dasselbe Zertifikat verwendet wird, schlägt der Commit fehl.

1. Verwenden Sie separate Zertifikate für Panorama und Firewall.
2. Als Beispiel werden 2 Zertifikate generiert, Pan_cert auf Panorama und FW_cert auf der Firewall verwendet wird.

• Einrichten der Authentifizierung mit benutzerdefinierten Zertifikaten
• Konfigurieren der sicheren Kommunikation zwischen Panorama und Firewalls
• Verbesserungen beim Verbindungsserver