升级后无法连接终端服务器代理firewall到 10.1.3

升级后无法连接终端服务器代理firewall到 10.1.3

12596

Created On 05/22/22 06:57 AM - Last Modified 03/02/23 05:27 AM

Symptom

升级后无法连接终端服务器代理firewall到 10.1.3

Environment

帕洛阿尔托 Firewall
PAN-OS 升级到 10.1.x
终端服务器代理

Cause

开始PAN-OS10.0的firewall到终端服务器代理连接具有与用户相同级别的安全检查ID代理人（UIA ).
还有加键用法和CN（公用名）对终端服务器代理提供的证书的验证firewall.
如果它们不同，则在用户标识日志(少 mp-log useridd.log ) 将指示CN证书上的主机名与配置的主机名不同firewall.

debug: pan_user_id_perform_cn_validations(pan_user_id_ssl.c:1021): pan_user_id_perform_cn_validations failed
Error: pan_user_id_tsa_verify_def_cert_cb(pan_user_id_tsa.c:381): pan_user_id_perform_cn_validations failed

Resolution

更新证书和firewall配置反映相同CN（通用名称）。

Additional Information

配置终端服务器代理
另请参阅： 10.1.5 解决的问题(PAN-184047 ) - 修复了终端服务代理 (TS代理）与证书配置文件和证书链的连接TS代理失败。发生这种情况是因为在根证书或中间证书中执行了通用名称验证和密钥使用检查。