電源開關：OS10：憑證到期與解決方案

特定版本的 OS10 （請參閱受影響的軟體版本） 包含用於 VLT 同儕建立和 SFS 叢集形成的預設憑證。此預設憑證將於 2021 年 7 月 27 日到期。到期後，當其中一個交換器發生後續的交換器重新開機、連結抖動、操作者觸發的組態變更、vMotion 和其他網路事件時，就會發生流量連線問題。憑證到期不會在系統記錄、設陷或使用者介面上顯示任何對應的訊息。

受影響的軟體版本，依型號：
 

OS10 版本	型號
10.3.2ER3P1	僅限 S5148F
10.4.0E.R3SP2 至 10.4.0E。R4SP2	僅限 MX9116 和 MX5108
10.4.1.4 至 10.4.3.6P5	所有 OS10 型號 （包括 MX9116、MX5108 和 S5148F）
10.5.0.0 至 10.5.0.7P3	所有 OS10 型號 （包括 MX9116 和 MX5108）

解決方案

注意：請參閱隨附的技術說明書以取得此解決方案的 PDF 版本，以便提供給將執行升級的工程師。

注意：Isilon 後端乙太網路使用者不應遵循本文概述的程序。若為 Isilon，使用者請參閱 KB 文章 185548：用於 Isilon 後端乙太網路的 Dell Z9100-ON 交換器上的 Dell 交換器憑證到期 ，以取得問題的詳細資料。文章需要客戶登入。

注意：  ECS Gen 3 裝置使用者不應遵循本文所述的程序。若為 ECS，使用者請參閱 KB 文章 185691：DTA 185691：ECS：ECS 前端和後端交換器上的 Dell OS10 交換器 X.509v3 安全性憑證到期，可能導致資料無法取得問題的詳細資訊。文章需要客戶登入。

注意：從 10.3.2.x 到 10.4.2.x 受影響版本的使用者，無法使用憑證更新。使用者必須升級至 10.4.3.0 或更新版本 （適用於 MX 的 10.5.0.x 或更新版本），且必須遵循下表。   

注意：  若為 10.4.0E（R3SP2）- 10.4.0E（R4SP2） 上的 PowerEdge MX 使用者，如果在 2021 年 7 月 27 日之前無法升級至最新基準，請聯絡 Dell 技術支援部門，以取得更新預設憑證的協助。

注意：下列 OS10 版本隨附新的預設憑證，可解決此憑證到期問題
：10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

警示：對於選擇升級至最新固件的使用者，您必須遵循支援網站上 Dell EMC SmartFabric OS10 安裝、升級和降級指南文件的準備升級一節中所述的升級路徑。

若為版本 10.4.3.0 到 10.5.0.7P3，使用者必須遵循下表的解決方案，以防止因預設憑證到期而發生網路問題：       
 

部署類別	建議的解析度	或者，如果可以升級。
非 VLT 非 SFS 模式中的非 MX 交換器	無須採取動作。	無須採取動作。
MX-SFS m頌歌	在所有節點上使用 Dell 提供的指令檔，將預設憑證更新為新的預設憑證。 若要使新的預設憑證生效，必須： - 重新啟動 SFS 主 - 此外，在多群集部署中，重新啟動每個 VLT 對中的一個 VLT 對等體。	在 2021 年 7 月 27 日之前升級至 >=10.5.1.7 請遵循在適用於 PowerEdge MX7000 機箱的 Dell EMC OpenManage Enterprise-Modular Edition 使用者指南 中所找到 的升級路徑MX7000 解決方案基準 - 第 15 至 17 頁顯示相容元件的韌體基準。 OS10 韌體更新矩陣 - 第 22 頁詳細介紹了 OS10 交換器的升級路徑。
MX-全交換器模式
處於 VLT 非 SFS 模式的交換器	在所有節點上使用 Dell 提供的指令檔，將預設憑證更新為新的預設憑證。 若要使新的預設憑證生效，「必須」在 VLT 主要交換器的 VLTi 介面/連結上執行「關閉」和「不關閉」。	在 2021 年 7 月 27 日之前升級到版本 >= 10.5.1.0
VxRail-SFS-單一機架	在所有節點上使用 Dell 提供的指令檔，將預設憑證更新為新的預設憑證。 若要使新的預設憑證生效，必須： - 重新啟動 SFS 主 - 此外，在多群集部署中，重新啟動每個 VLT 對中的一個 VLT 對等體。	在 2021 年 7 月 27 日之前升級到版本 >= 10.5.2.2
VxRail-SFS-多機架
S5148	升級至 10.4.3.x，然後在所有節點上使用 Dell 提供的指令檔，將預設憑證更新為新的預設憑證。 在所有節點上使用 Dell 提供的指令檔，將預設憑證更新為新的預設憑證。 若要使新的預設憑證生效，「必須」在 VLT 主要交換器的 VLTi 介面/連結上執行「關閉」和「不關閉」。	與建議的解決方案相同。

注意：VLTi 連結變動或交換器重新開機時需要維護時段，因為這可能會中斷網路流量。計算維護時段時：       

• 若為指令檔，請為每個裝置保留 3 至 5 分鐘的時間。指令檔在執行期間，流量不會受到影響。
• 若要升級 OS10，從一個版本轉換到下一個版本時，估計每個節點需要 30 分鐘。

「Dell Networking Default X.509 Certificate Update」指令檔套件可搭配您的 OS10 權利在 Dell Digital Locker 上取得。指令檔套件的檔案名稱為「cert_upgrade_script」，其中包含如何執行指令檔的詳細說明的讀我檔案。按一下 DDL 帳戶中的交換器，然後前往可用的下載項目以查看指令檔套裝。

如需登入和下載指令檔的更多詳細資料，請參閱 Dell Networking 如何從 Dell Digital Locker 下載 OS10 Cert_Upgrade_Script

進一步逐步 有關如何完成憑證更新的詳細資料，請參閱以下文章：

請選擇一項

Dell Networking OS10 如何從 Linux

執行憑證更新Dell Networking OS10 如何直接從 OS10 交換器

執行憑證更新Dell Networking OS10 如何使用 Python

從 Windows 執行憑證更新 這段影片顯示了使用 python 指令檔更新憑證的程序。

注意：根據您儲存指令檔的位置而定，您可能擁有與本影片中使用的不同檔案路徑。





警示：叢集或 VLT 中的所有交換器都必須具有與叢集或 VLT 通訊相同的安裝憑證。必須在相同的維護時段內在叢集和 VLT 中的所有節點上執行指令檔。

更新交換器上的預設憑證後，請注意下列事項：      

• 如果您降級使用舊預設憑證的其他軟體版本，您可能會再次遇到此問題。
• 如果您在另一個仍具有舊預設憑證的磁碟分割上開機，您可能會再次遇到此問題。
• 如果您將交換器更換為使用舊預設憑證的版本，可能會再次遇到此問題。

如果發生上述任何一種情況，您應該：     

•   再次使用指令檔更新預設憑證。

警示：當叢集中的所有系統皆使用 10.5.1.0 或更新版本時，不會使用憑證。如果叢集執行的是混合版本的 OS10，某些節點執行的是 10.5.0.x 及更低版本。然後，執行 10.5.1.x 或更新版本的系統必須執行安裝新憑證的指令檔，讓節點組成叢集。

一些出貨時搭載 10.4.3 或 10.5.0 的新交換器已安裝新的預設憑證。此外，部分服務更換交換器還安裝了新的預設憑證。這些裝置是由裝置上的貼紙所識別，上面寫著「憑證已更新」。

若要在 VLT 或 SFS 叢集中使用此類交換器  

• 叢集中的所有交換器都必須安裝新的預設憑證。