"Fehler beim Überprüfen des Serverzertifikats für Endpunkt api.paloaltonetworks.com" wird angezeigt, wenn das Gerätezertifikat nicht in Panorama installiert ist

25777

Created On 01/05/23 06:24 AM - Last Modified 08/26/24 18:16 PM

Symptom

CDL-Protokolle werden in Panorama nicht angezeigt.
Der Cortex Data Lake-Status zeigt den Fehler "Fehler beim Überprüfen des Serverzertifikats für Endpunkt api.paloaltonetworks.com" an.

Der Datenverkehr zwischen Panorama und dem CDL-Endpunkt wird nicht durch FWs blockiert.
Das Problem wurde durch das erneute Abrufen von Lizenzen und dem Protokollierungsdienstzertifikat nicht behoben.
Das Zertifikat des Protokollierungsdiensts konnte erfolgreich abgerufen werden, und es ist nicht abgelaufen.

> request plugins cloud_services logging-service status
fail
/snip/
success
Successfully fetched logging service certificate
success
2022-12-13 03:07:26
2023-03-13 03:07:26
2022/12/13 12:18:18
xxxxxxxxxxxx
Failed to validate server certificate for endpoint api.paloaltonetworks.com  
failure
xxxxxxxxxxxxxxxx.in2-lc-prod-us.gpcloudservice.com
xxxxxxxxxxxxxxxx.api2-lc-prod-us.gpcloudservice.com:444
2022/12/13 12:02:20
americas

Environment

Jedes Panorama
PAN-OS 10.1 und höher
Cloud Services-Plug-in installiert.
Panorama ruft die Protokolle aus dem Cortex Data Lake ab

Cause

Das Gerätezertifikat ist nicht im Panorama installiert.

> show device-certificate status

Device Certificate information:
	No device certificate found

Panorama mit Version 10.1 oder höher sollte für die Verbindung mit CDL das Gerätezertifikat anstelle des Protokollierungsdienstzertifikats verwenden.

Resolution

Installieren Sie das Panorama-Gerätezertifikat.
Starten Sie den "gemeldeten" Vorgang auf Panorama neu

> show system resources | match reportd
> debug software restart process reportd
> show system resources | match reportd

Nach dem Neustart des "gemeldeten" Prozesses beginnt Panorama mit der Verwendung des Gerätezertifikats für den Protokollierungsdienst.

> request plugins cloud_services logging-service status

pass
/snip/
success
Successfully fetched Device Certificate 
success
1670900486
1678676486
2022/12/14 11:03:31
xxxxxxxxxxxx
Successfully fetched Logging Service customer info
success
xxxxxxxxxxxxxxxx.in2-lc-prod-us.gpcloudservice.com
xxxxxxxxxxxxxxxx.api2-lc-prod-us.gpcloudservice.com:444
2022/12/14 11:02:17
americas

Additional Information

Löschen Sie für Firewalls, die mit CDL verknüpft sind, den CDL-Lizenzschlüssel und rufen Sie ihn nach der Installation des Gerätezertifikats erneut ab.

CDL-Lizenz löschen:

> delete license key <CDL_License_Key>

CDL-Lizenz abrufen:

> request license fetch