Panorama Échec du transfert Syslog en raison de et CRL de OCSP la validation
23904
Created On 09/13/22 21:55 PM - Last Modified 03/02/23 05:28 AM
Symptom
Le transfert Syslog est TCP interrompu en raison d’un échec de la poignée de SSL main.
Environment
- Panorama.
- PAN-OS 10.1.7 ou supérieur
- Réseaux de FirewallPalo Alto .
- Syslog Server configuré avec SSL.
Cause
- Le protocole Online Certificate Status Protocol (OCSP) est utilisé par les autorités de certification pour vérifier l’état de révocation d’un Xcertificat numérique .509.
- Sur les pare-feu Palo Alto Networs ou Panorama, un profil Syslog Forwarding peut être configuré avec SSL comme méthode de transport, pour SSL, le port 6514 est utilisé par défaut.
- Si le certificat n'inclut OCSP URIpas , le peut ignorer ces validations de certificat et établir la TLS connexion avec le Firewall serveur Syslog.
Resolution
Exécutez la commande suivante CLI ci-dessous pour ignorer la OCSPvalidation //CRLSKU
> set syslogng ssl-conn-validation explicit OCSP skip CRL skip EKU skipNote: La commande fonctionne sur PAN-OS 10.1.7 et supérieur. Bien que le soit vu dans 10.1.5 CLI et 10.1.6, il ne fonctionne que dans 10.1.7 ou supérieur.Additional Information
Le fichier journal syslog-ng.log contient les erreurs suivantes
syslog-ng[50723]: syslog-ng no OCSP URI in cert;
syslog-ng[50723]: syslog-ng ocsp over-riding errors due to global-flag;
syslog-ng[50723]: syslog-ng no CRL distribution points;
syslog-ng[50723]: issuer extended key-usage does not have OCSP signing; ihash='/opt/pancfg/mgmt/syslogng/ca.d/d6325660.0'
syslog-ng[50723]: Error connecting BIO;
syslog-ng[50723]: Error querying OCSP responsder;
syslog-ng[50723]: ocsp request failed; idx='0'
syslog-ng[50723]: syslog-ng ocsp over-riding errors due to global-flag;
syslog-ng[50723]: syslog-ng - converted CRL from DER to PEM;
syslog-ng[50723]: syslog-ng certificate is revoked; idx='0'
syslog-ng[50723]: syslog-ng CRL suppressing errors due to global settings;
syslog-ng[50723]: unable to load issuer cert; ihash='/opt/pancfg/mgmt/syslogng/ca.d/c43a77d9.0'
syslog-ng[50978]: syslog-ng starting up; version='3.29.1'
syslog-ng[50978]: SSL error while writing stream; tls_error='SSL routines:SSL3_WRITE_BYTES:ssl handshake failure', location='/opt/pancfg/mgmt/syslogng/pan_sysng.cfg:59:3'