Este documento fornece informações sobre como configurar o perfil de publicação Palo Alto para que seja possível instalar e publicar certificados.
Se o dispositivo Palo Alto não estiver diretamente acessível a partir da Segura® Platform, o perfil publica através do Network Connector configurado no dispositivo.
Requisitos
- Um certificado gerado e assinado por uma CA. Mais informações em Como criar uma requisição e Como assinar uma requisição.
- Uma credencial cadastrada no Segura® com acesso ao dispositivo Palo Alto. Mais informações em Como configurar uma credencial no Segura®.
- Um dispositivo cadastrado no Segura® para o firewall Palo Alto. Mais informações em Como configurar um dispositivo.
Se o dispositivo não estiver diretamente acessível a partir da Segura® Platform, configure um Network Connector no dispositivo antes de criar o perfil. O Network Connector configurado no dispositivo sempre tem precedência sobre um Network Connector global configurado para o ambiente. - Uma conectividade HTTPS no dispositivo. A porta padrão é 443. Sem ela, a publicação falha com o erro
Equipment without HTTPS connectivity.
Como a publicação funciona
O Segura® publica o certificado através da API XML do PAN-OS via HTTPS:
- Gera uma chave de API com a credencial.
- Importa o certificado e a chave privada como um keypair PKCS12.
- Define o certificado no perfil SSL/TLS informado no campo Perfil SSL/TLS.
- Faz o commit da configuração no firewall automaticamente.
O nome do certificado no firewall é derivado do nome comum (CN) do certificado: * é substituído por wildcard, caracteres inválidos são substituídos por _, e o nome é cortado em 31 caracteres.
Configurar o Palo Alto
Para configurar o Palo Alto, veja os passos a seguir:
- No Segura®, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione Certificate Manager.
- No menu lateral, selecione Publicações > Perfis de publicação.
- Clique no botão de ações e selecione Palo Alto.
- Na aba Configurações, preencha os seguintes campos:
- No campo Nome do perfil *, insira o nome do perfil.
- No campo Username da credencial, insira o nome da credencial.
- Opcional: Marque a opção Utilizar uma credencial cadastrada para acessar todos os dispositivos, e, no campo Credencial de acesso cadastrada do sistema, selecione uma credencial de acesso cadastrada no Segura®.
- Clique em Continuar.
- Na aba Palo Alto, preencha os seguintes campos:
- No campo Perfil SSL/TLS, insira o nome do perfil SSL/TLS. Um nome novo cria um perfil; um nome existente altera as configurações desse perfil. Se você deixar esse campo vazio, o Segura® importa o certificado, mas não consegue vinculá-lo a um perfil SSL/TLS, e você precisa vinculá-lo manualmente no firewall.
- Opcional: No menu suspenso Versão mínima, selecione a versão mais antiga do protocolo TLS aceita pelo dispositivo: TLSv1.0, TLSv1.1 ou TLSv1.2.
- Opcional: No menu suspenso Versão máxima, selecione a versão mais recente do protocolo TLS aceita pelo dispositivo: TLSv1.0, TLSv1.1, TLSv1.2 ou Max. A versão máxima precisa ser igual ou posterior à versão mínima. O TLS 1.3 não está disponível.
- Clique em Continuar.
- Na aba Dispositivos, selecione o dispositivo Palo Alto.
- O dispositivo deve ter sido cadastrado previamente no Segura®.
- A coluna Network Connector mostra Sim ou Não, dependendo se o dispositivo tem seu próprio agente Network Connector configurado.
- Na aba Revisão, verifique todas as informações inseridas anteriormente e clique em Salvar.
Verifique seus resultados
O plugin Palo Alto não executa uma etapa de verificação pós-publicação. Verifique o certificado diretamente no dispositivo Palo Alto para confirmar que a publicação foi concluída com sucesso.
Se o Network Connector do dispositivo estiver inacessível ou mal configurado, o plugin não gera uma mensagem de erro dedicada. A operação falha com uma exceção genérica. O único rastro específico do Network Connector é uma linha de log (Network Connector: <agent>), registrada quando a conexão foi roteada por ele.
Mais informações em Como publicar um certificado.