Les notifications Slack (hooks.slack.com) échouent avec les journaux système signalant

Les notifications Slack (hooks.slack.com) échouent avec les journaux système signalant « Raison : le certificat a expiré »

2110

Created On 03/27/23 07:32 AM - Last Modified 09/04/25 02:40 AM

Symptom

Panorama ou pare-feu configuré pour transférer les journaux vers l’application Slack « hooks.slack.com » via un profil HTTP.

Interface graphique : Paramètre de journal > de périphériques utilise le profil HTTP ci-dessus pour envoyer des journaux, journal système par exemple :

Les journaux système affichent des erreurs : échec de la validation du certificat du serveur HTTP. Hôte : X.X.X.X, CN : slack.com, Raison : le certificat a expiré.

Note: Le problème ne se trouve pas dans PAN-OS 10.2.X et versions ultérieures.

Le point de terminaison Slack envoie hooks.slack.com une chaîne de certificats, y compris un certificat X3 expiré.
PANOS 9.1.x et 10.1.x utilisent ce certificat expiré comme certificat racine.

Mettez à niveau le système d’exploitation PAN-OS vers la version 10.2.x ou ultérieure.
Utilisez une solution de contournement basée sur le déchiffrement SSL (applicable uniquement sur les pare-feu) comme indiqué dans la section supplémentaire.

Solution : En utilisant le déchiffrement SSL, la solution de contournement suivante peut être mise en œuvre, mais uniquement sur un pare-feu :

Créez un certificat d’approbation CA Forward et un certificat d’approbation CA Forward Untrust (en supposant que le déchiffrement SSL n’est pas utilisé). Si le décryptage SSL est déjà configuré, veuillez ignorer le point
Configurez une route de service pour HTTP avec une interface dans une zone qui sera spécifiée dans une stratégie de déchiffrement en tant que source. Dans l’exemple, une route de service a été créée pour utiliser l’interface loopback.1 :

Configuration de l’itinéraire de service :

configuration loopback.1 - configurée dans une zone INSIDE

Ajoutez une stratégie de déchiffrement, tapez SSL Forward Proxy. Spécifiez autant de paramètres granulaires que nécessaire. Dans une version plus simple, seules les zones suffisent.Assurez-vous qu’il n’affecte pas la configuration existante, idéalement en effectuant d’abord des tests dans un environnement hors production.

Vérifiez si la configuration NAT et la stratégie de sécurité existantes autorisent le trafic.
En implémentant les étapes ci-dessus, une chaîne de certificats est modifiée, aucun certificat X3 problématique n’est plus vu dans le message de certificat TLS.