Firewall Nach dem Panorama Upgrade kann keine Verbindung hergestellt werden

14506

Created On 11/02/21 06:06 AM - Last Modified 07/31/23 16:48 PM

Symptom

Panoramaund Managed Firewalls aktualisiert auf 10.1.2
Firewalls zeigen getrennt von Panorama
Configd.log on Panorama (show mp-log configd.log) zeigt die Meldung "failed to register device" (Gerät konnte nicht registriert werden) an

Warning:  isSC3conn(sc3_register.c:47): SC3: Given SNI does not match for peer (/78d92c71-79d0-4381-9370-2f0d35338d3e)
Warning:  sc3_register(sc3_register.c:211): SC3: connstat for '012001xxxxxx': 1
Error:  sc3_register(sc3_register.c:220): SC3: Re-register of '012001xxxxxx' is not allowed.
reg: device '012001062884' using  :: 84e7f61d-191b-4e3e-a4c6-9e5649367d84
Warning:  _register_ext_validation(pan_cfg_mgt_handler.c:4439): reg: device '012001xxxxxx' not registered before but using a signed cert ( :: 84e7f61d-191b-4e3e-a4c6-9e5649367d84)
Error:  pan_cfg_handle_mgt_reg(pan_cfg_mgt_handler.c:4754): SC3: Failed to register device: '012001xxxxxx'

Environment

Panorama Verwalten von Palo Alto Firewalls
Upgrade auf /Firewalls auf PanoramaPAN-OS 10.1.2

Cause

In PAN 10.1 und höher stellt der during initial TLS den Authentifizierungsschlüssel zusammen mit dem Gerätezertifikat CSR für das Register bereit, das bei der FW Installation von 10.1 generiert wird
Dieser Authentifizierungsschlüssel wird von Panorama generiert und muss auf der bei der Panorama Konfiguration eingegeben werden.Firewall
Sobald der Authentifizierungsschlüssel von Panorama validiert wurde, signiert er das Gerät CSR mit dem Root-Zertifikat und überträgt das Gerätezertifikat und das Root-Zertifikat FW CA CA über die erste TLS Verbindung.
Von dort aus beginnen die neuen Register aus dem FW Gerätzertifikat zu verwenden, das gepusht wird, um die TLS Authentifizierung zu erreichen.

Resolution

Geben Sie die folgenden Befehle für das verwaltete firewall System aus, das getrennt ist.

>request sc3 reset                       >>> Refer to the important note below
>debug software restart process management-server
>request authkey set <>                  >>> auth key from Panorama
>configure
#commit force
#exit

Hinweis: Führen Sie den Befehl "request sc3 reset" nicht auf Panoramaaus. Dadurch werden alle verbundenen Firewalls zurückgesetzt. Dieser Befehl soll auf Managed firewallausgeführt werden.

Additional Information