Slack-Benachrichtigungen (hooks.slack.com) schlagen fehl, wenn in den Systemprotokollen "Grund: Zertifikat abgelaufen" gemeldet wird

2110

Created On 03/27/23 07:32 AM - Last Modified 09/04/25 02:40 AM

Symptom

Panorama oder Firewall, die so konfiguriert ist, dass Protokolle über das HTTP-Profil an die Slack-App "hooks.slack.com" weitergeleitet werden.

GUI: Geräte- > Protokolleinstellungs verwenden das obige HTTP-Profil zum Senden von Protokollen, z. B. Systemprotokoll:

In den Systemprotokollen werden folgende Fehler angezeigt: Fehler bei der Überprüfung des HTTP-Serverzertifikats. Host: X.X.X.X, CN: slack.com, Grund: Zertifikat ist abgelaufen.

Anmerkung: Das Problem tritt in PAN-OS 10.2.X und höher nicht auf.

Der Slack-Endpunkt hooks.slack.com sendet eine Zertifikatskette mit einem abgelaufenen X3-Zertifikat.
PANOS 9.1.x und 10.1.x verwenden dieses abgelaufene Zertifikat als Root-Zertifikat.

Aktualisieren Sie das PAN-OS auf 10.2.x oder höher.
Verwenden Sie eine auf SSL-Entschlüsselung basierende Problemumgehung (gilt nur für Firewalls), wie im zusätzlichen Abschnitt beschrieben.

Problemumgehung: Durch die Verwendung der SSL-Entschlüsselung kann die folgende Problemumgehung implementiert werden, jedoch nur auf einer Firewall:

Erstellen Sie ein vertrauenswürdiges CA-Forward-Zertifikat und ein nicht vertrauenswürdiges CA-Forward-Zertifikat (vorausgesetzt, die SSL-Entschlüsselung wird nicht verwendet). Wenn die SSL-Entschlüsselung bereits konfiguriert ist, überspringen Sie bitte den Punkt
Konfigurieren Sie eine Dienstroute für HTTP mit einer Schnittstelle in einer Zone, die in einer Entschlüsselungsrichtlinie als Quelle weiter angegeben wird. Im Beispiel wurde eine Dienstroute erstellt, um die loopback.1-Schnittstelle zu verwenden:

Konfiguration der Dienstroute:

loopback.1 Konfiguration - konfiguriert in einer Zone INSIDE

Fügen Sie eine Entschlüsselungsrichtlinie hinzu, und geben Sie SSL Forward Proxy ein. Geben Sie so viele granulare Einstellungen wie nötig an. In einer einfachsten Version reichen nur Zonen aus.Stellen Sie sicher, dass die vorhandene Konfiguration nicht beeinträchtigt wird, idealerweise indem Sie zuerst in einer Nicht-Produktionsumgebung testen.

Überprüfen Sie, ob die vorhandene NAT-Einrichtung und die Sicherheitsrichtlinie Datenverkehr zulassen.
Durch die Implementierung der obigen Schritte wird eine Zertifikatskette geändert, so dass kein problematisches X3-Zertifikat mehr in der TLS-Zertifikatsmeldung angezeigt wird.