El estado de supervisión del servidor mediante WinRM-HTTPS muestra "Conexión rechazada (0)" después de la renovación del certificado de servidor.

• Después de renovar el certificado de servidor, la supervisión del servidor mediante el estado WinRM-HTTPS muestra "Conexión rechazada (0)".

• Los registros de Userid (menos mp-log useridd.log) informan del error "Error de conexión. código de respuesta = 0,".

Error:  pan_user_id_winrm_verify_cert_cb(pan_user_id_win.c:2814): Unable to get basic constraints
Error:  pan_user_id_winrm_verify_cert_cb(pan_user_id_win.c:2873): X509_verify_cert returned error 20, error = 'unable to get local issuer certificate'
Error:  pan_user_id_winrm_query(pan_user_id_win.c:2654): failed to connect to winrm server server.pantac.local.lab in vsys 1
Error:  pan_user_id_winrm_query(pan_user_id_win.c:2698): Connection failed. response code = 0, error: Peer certificate cannot be authenticated with given CA certificates in vsys 1, server=server.pantac.local.lab.

• Palo Alto Firewalls
• PAN-OS 9.1.16
• Renovación del certificado de servidor utilizado para el ID de usuario WinRM-HTTPS.
• Controlador de dominio que se supervisa mediante WinRM-HTTPS como método de transporte.

• Después de renovar el certificado de servidor, la huella digital del certificado no se actualizó en el servidor.
• El servicio WinRM no pudo validar el certificado.

1. Elimine el agente de escucha de WinRM que ya se está ejecutando con la configuración Address=* y Transport=HTTPS, escriba el siguiente comando:

c:>winrm delete winrm/config/Listener?Address=*+Transport=HTTPS

2. Cree un nuevo agente de escucha de WinrRM con la configuración Address=* y Transport=HTTPS con la huella digital del nuevo certificado de servidor, escriba el siguiente comando:

c:>winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname=”<hostname>";CertificateThumbprint=”Certificate Thumbprint"}

• "hostname" es el nombre de host del servidor Windows
• "Huella digital del certificado" es el valor que copió del nuevo certificado de servidor.

Nota: Quite los espacios de la huella digital del certificado para asegurarse de que WinRM puede validar el certificado.

3. Para comprobar que WinRM se comunica mediante HTTPS y confirmar que el resultado muestra Transport = HTTPS, escriba el siguiente comando:

c:>winrm enumerate winrm/config/listener

Nota: Asegúrese de haber importado correctamente el certificado raíz de los certificados de servicio que el servidor Windows usa para WinRM en el firewall y asocie el certificado con el perfil de certificado de identificador de usuario.

• Cómo configurar WinRM a través de HTTPS con autenticación básica
• Configurar la supervisión del servidor mediante WinRM
• Monitor del servidor atascado en la conexión rechazada