Sicheres Kommunikationszertifikat zwischen der Palo Alto Firewall und Panorama, das in 3 Monaten abläuft
5429
Created On 05/17/24 03:20 AM - Last Modified 07/11/25 19:58 PM
Question
Nach dem erfolgreichen Onboarding der Palo Alto-Firewall in Panorama mit dem Authentifizierungsschlüssel wird festgestellt, dass das Zertifikat für die sichere Kommunikation nur 3 Monate gültig ist.
Wird die Verbindung nach 3 Monaten getrennt?
Panorama > Anzeige angeschlossener
GeräteSerieller Hostname IPv4 IPv6 Verbunden
--------------------------------------------------------------------------
969856780331 PA-820 1.2.3.4 unbekannt ja
Wildfire Echtzeit-Stream deaktiviert VPN Deaktivierungsmodus: nein
Betriebsmodus: normal
HA Cluster-Status: Cluster unbekannt
Zertifikatstatus:
Betreff des Zertifikats Name: 2dd89c4a-54c2-43cb-869e-2dd89c4aafe
Ablauf des Zertifikats am: 05.08.2024 08:12:14 <-- Zertifikat gültig für 3 Monate
Verbunden am: 2024/05/04 17:12:45
Benutzerdefiniertes Zertifikat Verwendet: nein
Virtuelle Systeme:
vsys1(vsys1) gemeinsam genutzte Richtlinie md5sum:()
freigegebene Richtlinienversion:
Letzter Masterkey-Push-Status: Unbekannt
Zeitstempel des letzten Masterkey-Pushs: keine
Express-Modus: nein
Gerätezertifikat vorhanden: Keine
Ablaufdatum des Gerätezertifikats : N/A
Gesamtzahl der angeschlossenen Geräte: 1
Environment
PANOS-10.1
Answer
Das Zertifikat für sichere Kommunikation ist 3 Monate gültig.
2 Wochen vor Ablauf erstellt die Firewall eine neue CSR und sendet diese zur Signatur an Panorama, wodurch das Zertifikat erneuert wird.
Beispiel für ein Firewall-Protokoll (configd.log):
2024-07-20 04:02:02.025 +0530 SC3: Benachrichtigung über Zertifikatsänderungen (0->1)
2024-07-20 04:02:02.512 +0530 Warnung: _cex_panos(sc3_utils.c:436): SC3: Geräte-CSR auf '7a2f80b3-5706-4a4f-1234-e71b1b128baf'
2024-07-20 04:02:02.954 +0530 SC3: Gerät: '969856780331' verwendet SNI: '888d715d-1234-4e1b-aa54-1serf3e72ccae'
2024-07-20 04:02:02.955 +0530 Warnung: sc3_processCerts(sc3_register.c:611): SC3: Löschen von CC
2024-07-20 04:02:03.112 +0530 SC3: Verwendung des neuen Gerätezertifikats: '7a2f80b3-5706-4a4f-1234-e71b1b128baf'