から切断されていることを示すマネージド ファイアウォールPanoramaネットワーク接続が良好であっても。
103777
Created On 06/20/22 07:17 AM - Last Modified 10/24/23 17:39 PM
Symptom
- 管理されたファイアウォールが切断されましたPanoramaオンになっているPAN-OS10.1.
> show panorama-status
- ファイアウォールとPanorama作業しています。
- ファイアウォールの Netstat 出力は、接続が確立されていることを示していますPanoramaポート 3978 で。
> show netstat all yes numeric-hosts yes numeric-ports yes Example: admin@hio-awsgwlbine1e2pafwA-1> show netstat all yes numeric-hosts yes numeric-ports yes | match 172.31.17.171 tcp 0 0 10.59.142.180:56872 172.31.17.171:3978 ESTABLISHED tcp 0 0 10.59.142.180:33018 172.31.17.171:3978 ESTABLISHED
- ms.log のFirewall次のエラーを示しています:-
> less mp-log ms.log -0700 cmsa: agent index=0 -0700 Warning: sc3_get_current_sc3(sc3_utils.c:179): SC3: failed to get SNI -0700 Warning: sc3_get_current_sc3(sc3_utils.c:182): SC3: failed to get CCN -0700 [Secure conn] Secure channel for Firewall to panorama communication not enabled for secure conn. -0700 Warning: pan_cmsa_mgmt_assign_ssl_ctx(src_panos/cms_agent.c:2348): client using default (legacy) context -0700 Warning: sc3_get_current_sc3(sc3_utils.c:179): SC3: failed to get SNI -0700 Warning: sc3_get_current_sc3(sc3_utils.c:182): SC3: failed to get CCN -0700 COMM: connection established. sock=27 remote ip=XXXX port=3978 local port=60392 -0700 cms agent: Pre. send buffer limit=46080. s=27 -0700 cms agent: Post. send buffer limit=2097152. s=27 -0700 Error: cs_load_certs_ex(cs_common.c:655): keyfile not exists -0700 Error: pan_cmsa_tcp_channel_setup(src_panos/cms_agent.c:883): cms agent: cs_load_certs_ex failed -0700 cmsa: client will use default context -0700 Error: sc3_ca_exists(sc3_certs.c:221): SC3: Failed to get the current CA name. -0700 Warning: sc3_init_sc3(sc3_utils.c:351): SC3: Failed to get the Current CC name -0700 SC3: CA: '', CC/CSR: 'XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXX' -0700 Warning: sc3_get_current_sc3(sc3_utils.c:179): SC3: failed to get SNI -0700 Warning: sc3_get_current_sc3(sc3_utils.c:182): SC3: failed to get CCN -0700 Warning: sc3_init_sctx(sc3_ctx.c:323): SC3: not set, skip cert loading -0700 SC3A: using SNI (from AK): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXX -0700 SC3A: using sc3 ctx with no cert -0700 Warning: sc3_get_current_sc3(sc3_utils.c:179): SC3: failed to get SNI ......
Environment
- が管理するファイアウォール Panorama
- Panorama オンですPAN-OS10.1以上
- マネージドFirewallPAN-OS10.1
- 安全なオンボーディング
Cause
- セキュリティ体制を強化するには、PAN-OS 10.1 では、新しいデバイスとPanorama最初の接続時。
- 安全なオンボーディングのための認証キーが導入されました。
Resolution
- 有効な認証キーがPanorama:
- Panorama > デバイス登録認証キー
- 有効なものがまだ存在しない場合は、新しいものを作成します。
- を取り外しますFirewall上の管理対象デバイスからPanoramaローカルを実行しますPanorama専念。
- Panorama > 管理対象デバイス > 概要
- を取り外しますPanoramaIPからのアドレスFirewallローカルを実行しますFirewall専念。
- デバイス > セットアップ >Panorama設定
- 追加Firewall再び管理対象デバイスとしてPanoramaローカルを実行しますPanorama専念。
- 追加PanoramaIP上のアドレスFirewall認証キーとともにローカル コミットを実行します。
- 認証キーは次の場所にあります。Panorama > デバイス登録認証キー