Palo Alto PAN-OS: SSL-Zertifikat austauschen

PAN-OS importiert Zertifikate in die Kandidatenkonfiguration. Die Management-Weboberfläche, GlobalProtect-Portale und -Gateways und die meisten anderen TLS-Dienste verweisen nicht direkt auf ein Zertifikat: Sie verweisen auf ein SSL/TLS Service Profile, und das Profil verweist auf das Zertifikat. Erst wenn das Profil auf das neue Zertifikat zeigt und die Änderung committet ist, ändert sich etwas.

VoraussetzungenCopy Anchor Link

• Notieren Sie Zertifikatsname, Speicherort (ein virtuelles System oder Shared), jedes SSL/TLS Service Profile und jede Funktion, die es nutzt, die Zwischen- und Stamm-CA-Objekte sowie den HA-Status. Ein Klick auf ein Zertifikat in der Liste zeigt seine Details einschließlich des Fingerabdrucks.
• Speichern Sie einen Snapshot, zu dem Sie zurückkehren können: Device > Setup > Operations > Save named configuration snapshot.
• Bereiten Sie den Ersatz vor:
  • eine PKCS12-Datei (Zertifikat, privater Schlüssel und meist die Kette in einer Datei, mit Passphrase geschützt), oder
  • PEM-Dateien für Zertifikat und privaten Schlüssel, oder
  • das signierte Zertifikat zu einer auf der Firewall erzeugten CSR. Die CSR steht als ausstehender Eintrag in der Zertifikatsliste, ihr privater Schlüssel liegt bereits auf der Firewall.
• Halten Sie Konsolen- oder Out-of-Band-Zugang bereit: Der Austausch des Management-Zertifikats kann Ihre aktuelle Web- und API-Sitzung beenden.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Öffnen Sie Device > Certificate Management > Certificates. Der Reiter heißt bis PAN-OS 11.2 Device Certificates, ab PAN-OS 12.1 Custom Certificates. Auf einer Firewall mit mehreren virtuellen Systemen wählen Sie zuerst die Location, oder Shared, wenn mehrere virtuelle Systeme das Zertifikat brauchen.

2. Klicken Sie auf Import und füllen Sie aus:

   • Certificate Name: Groß-/Kleinschreibung zählt, Buchstaben, Ziffern, Bindestriche und Unterstriche, bis zu 63 Zeichen auf einer Firewall (31 auf Panorama). Ein Name mit Zweck und Jahr wie gp-2026 macht den Rollback eindeutig.
   • Certificate File und File Format: PKCS12 (Standard) oder PEM.
   • Bei PEM Import Private Key aktivieren und die Key File wählen.
   • Passphrase: die Passphrase, die den Schlüssel in der Datei schützt.

   CSR auf der Firewall erzeugt: Importieren Sie das signierte Zertifikat unter genau demselben Namen wie der ausstehende CSR-Eintrag, mit File Format PEM und ohne Import Private Key. PAN-OS verknüpft es mit dem privaten Schlüssel, den es bereits hat.

3. Enthielt die Datei die Kette nicht, importieren Sie Zwischen- und Stammzertifikat auf dieselbe Weise ohne Schlüssel. Die Zertifikatsliste zeigt, welche CA-Zertifikate schon vorhanden sind.

4. Öffnen Sie Device > Certificate Management > SSL/TLS Service Profile und bearbeiten Sie jedes Profil, das das neue Zertifikat verwenden soll: Wählen Sie es unter Certificate aus. Wählen Sie dort nur das Serverzertifikat, nie ein CA-Zertifikat.

   Alternativ legen Sie ein neues Profil an (zum Beispiel gp-profile-2026) und wählen in Schritt 5 dieses Profil. Ein Rollback heißt dann einfach, wieder das alte Profil auszuwählen.

5. Wählen Sie das Profil in jedem Dienst aus, der es verwenden soll:

   • Management-Weboberfläche: Device > Setup > Management, General Settings bearbeiten (Zahnrad-Symbol), SSL/TLS Service Profile.
   • GlobalProtect-Portal: Network > GlobalProtect > Portals > Portal > Reiter Authentication > SSL/TLS Service Profile.
   • GlobalProtect-Gateway: Network > GlobalProtect > Gateways > Gateway > Reiter Authentication > SSL/TLS Service Profile.
   • Andere Funktionen, die direkt auf ein Zertifikat verweisen, etwa die Entschlüsselung, in den Einstellungen der jeweiligen Funktion.

   Haben Sie in Schritt 4 ein vorhandenes Profil bearbeitet, das die Dienste schon nutzen, ist dieser Schritt eine Kontrolle.

6. Klicken Sie auf Commit, prüfen Sie die Änderungen und warten Sie, bis der Commit-Job erfolgreich abgeschlossen ist.

7. In einem HA-Paar prüfen Sie das Widget High Availability im Dashboard beider Firewalls: Die laufende Konfiguration muss als synchronisiert angezeigt werden, bevor es zu einem Failover kommt.

Dasselbe in der CLICopy Anchor Link

Import von einem SCP-Server, den die Management-Schnittstelle erreicht. Die CLI fragt nach dem SCP-Kennwort:

scp import keypair from [email protected]:/certs/gp-2026.p12 certificate-name gp-2026 format pkcs12 passphrase <passphrase>

Verwenden Sie format pem für eine PEM-Datei, die den Schlüssel enthält. Für ein Zertifikat ohne Schlüssel - ein CA-Zertifikat oder das signierte Zertifikat zu einer CSR auf der Firewall:

scp import certificate from [email protected]:/certs/gp-2026.crt certificate-name gp-2026 format pem

tftp import nimmt dieselben Argumente, wo TFTP erlaubt ist. Wählen Sie das Zertifikat im SSL/TLS Service Profile aus (GUI oder set-Befehle im Konfigurationsmodus) und committen Sie:

configure
commit

Produktspezifische HinweiseCopy Anchor Link

Importieren heißt nicht aktivieren: Ein Zertifikat, das importiert, aber nie committet wurde, oder committet, aber in keinem Profil ausgewählt ist, lässt den laufenden Dienst unverändert. Welche TLS-Versionen ein Dienst anbietet, legt das SSL/TLS Service Profile fest, nicht das Zertifikat.

Neues Zertifikat prüfenCopy Anchor Link

Testen Sie jeden Endpunkt über den Namen, den Clients verwenden:

openssl s_client -connect fw-mgmt.example.com:443 -servername fw-mgmt.example.com -showcerts </dev/null
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und ob das Zwischenzertifikat mitgesendet wird. Testen Sie die Management-Oberfläche, jedes GlobalProtect-Portal und -Gateway, und verbinden Sie einen GlobalProtect-Client von Anfang bis Ende.

RollbackCopy Anchor Link

• Am schnellsten: im SSL/TLS Service Profile wieder das alte Zertifikat wählen - oder in jedem Dienst wieder das alte Profil - und committen.
• Wenn das alte Zertifikatsobjekt überschrieben wurde: das gesicherte Zertifikat mit Schlüssel erneut importieren, auswählen und committen.
• Vollständig zurück: Device > Setup > Operations > Load named configuration snapshot, den gespeicherten Snapshot wählen und committen.

Häufige ProblemeCopy Anchor Link

• Die Kandidatenkonfiguration wurde nie committet.
• Das SSL/TLS Service Profile wählt noch das alte Zertifikat.
• Management-Oberfläche oder ein GlobalProtect-Portal bzw. -Gateway nutzen ein anderes Profil als das bearbeitete.
• Das Zertifikat wurde ins falsche virtuelle System importiert oder nicht nach Shared, obwohl mehrere es brauchen.
• Das signierte Zertifikat zu einer CSR auf der Firewall wurde unter einem anderen Namen importiert, deshalb kann PAN-OS es nicht mit seinem Schlüssel verknüpfen.
• Der HA-Partner hat die Änderung nicht synchronisiert.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für PAN-OS importiert Zertifikat und Schlüssel über die XML-API, committet und wartet auf den Commit-Job. Umgebungsspezifische SSL/TLS Service Profiles oder Funktionsbindungen wählt es nicht aus.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Palo Alto Networks: Zertifikat und privaten Schlüssel importieren
• Palo Alto Networks: SSL/TLS Service Profile konfigurieren
• Palo Alto Networks: Zertifikat für eingehenden Management-Verkehr ersetzen
• Palo Alto Networks: GlobalProtect-Portal, Reiter Authentication
• Palo Alto Networks: GlobalProtect-Gateway, Reiter Authentication
• Palo Alto Networks: Konfigurationsänderungen zurücknehmen