Přepínač PowerSwitch: Systém OS10: Konec platnosti certifikátu a řešení

Specifické verze systému OS10 (viz Dotčené verze softwaru) obsahují výchozí certifikát, který se používá pro vytvoření partnerského uzlu VLT a vytvoření clusteru SFS. Platnost tohoto výchozího certifikátu vyprší 27. července 2021. Po vypršení platnosti dochází k problémům s dostupností provozu, když dojde k následnému restartování jednoho z těchto přepínačů, překlopení linky, změně konfigurace aktivované operátorem, vMotion a dalším síťovým událostem. Konec platnosti certifikátu nemá v protokolu syslog, depeších ani v uživatelském rozhraní žádné odpovídající zprávy.

Dotčené verze softwaru podle modelu:
 

Verze systému OS10	Model
10.3.2ER3P1	Pouze S5148F
10.4.0E. R3SP2 až 10.4.0E. R4SP2	Pouze modely MX9116 a MX5108
10.4.1.4 až 10.4.3.6P5	Všechny modely OS10 (včetně MX9116, MX5108 a S5148F)
10.5.0.0 až 10.5.0.7P3	Všechny modely OS10 (včetně MX9116 a MX5108)

Řešení

POZNÁMKA: V přiloženém technickém listu naleznete verzi tohoto řešení ve formátu PDF, kterou můžete poskytnout technikovi, který bude provádět upgrade.

POZNÁMKA: Uživatelé backendové sítě Ethernet Isilon by neměli dodržovat postupy uvedené v tomto článku. Informace o řešení Isilon naleznete v článku znalostní databáze 185548: Podrobnosti o problému najdete podrobnosti o problému u přepínačů Dell Z9100-ON používaných pro Isilon Backend Ethernet. Tento článek vyžaduje přihlášení zákazníka.

POZNÁMKA:  Uživatelé zařízení ECS Gen3 by neměli dodržovat postupy uvedené v tomto článku. Informace o systému ECS naleznete v článku znalostní databáze 185691: DTA 185691: ECS: Vypršení platnosti bezpečnostního certifikátu přepínače Dell OS10 X.509v3 na frontendových a backendových přepínačích ECS může vést k nedostupnosti dat s podrobnostmi o problému. Tento článek vyžaduje přihlášení zákazníka.

POZNÁMKA: Pro uživatele dotčených verzí od verze 10.3.2.x do 10.4.2.x není aktualizace certifikátu k dispozici. Uživatelé musí provést upgrade na verzi 10.4.3.0 nebo novější (10.5.0.x nebo novější pro MX) a musí postupovat podle následující tabulky.   

POZNÁMKA:  Pokud uživatelé serverů PowerEdge MX s verzemi 10.4.0E(R3SP2)–10.4.0E(R4SP2) nemohou provést upgrade na nejnovější směrný plán do 27. července 2021, obraťte se na technickou podporu společnosti Dell a požádejte o pomoc s aktualizací výchozího certifikátu.

POZNÁMKA: Následující verze systému OS10 přicházejí s novým výchozím certifikátem, který řeší tento problém s koncem platnosti certifikátu:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

ALERT: Uživatelé, kteří se rozhodnou pro upgrade na nejnovější firmware, MUSÍpostupovat podle postupu upgradu uvedeného v části Příprava na upgrade v dokumentu Průvodce instalací, upgradem a downgradem systému Dell EMC SmartFabric OS10 na našich stránkách podpory.

U verzí 10.4.3.0 až 10.5.0.7P3 musí uživatelé postupovat podle řešení podle této tabulky, aby předešli problémům se sítí v důsledku konce platnosti výchozího certifikátu:       
 

Kategorie nasazení	Doporučené rozlišení	Případně, pokud je upgrade možný.
Přepínače bez MX v režimu bez VLT, bez SFS	Žádné kroky nejsou zapotřebí.	Žádné kroky nejsou zapotřebí.
MX-SFSm ode	Aktualizujte výchozí certifikát na nový pomocí skriptů dodaných společností Dell na všech uzlech. Aby nový výchozí certifikát vstoupil v platnost, je MUSILI: - Restartujte primární SFS – při nasazení s více clustery také restartujte jeden z partnerských uzlů VLT v každém páru VLT.	Proveďte upgrade na >verzi =10.5.1.7 před 27. červencem 2021 Postupujte podle kroků upgradu uvedených v uživatelské příručce k řešení Dell EMC OpenManage Enterprise-Modular Edition pro šasi PowerEdge MX7000.Směrné plány řešení MX7000 – strana 15–17 zobrazuje směrné plány firmwaru kompatibilních komponent. Matice aktualizací firmwaru systému OS10 – strana 22 popisuje postup upgradu přepínačů OS10.
MX – režim plného přepínače
Přepínače v režimu VLT bez SFS	Aktualizujte výchozí certifikát na nový pomocí skriptů dodaných společností Dell na všech uzlech. Aby byl nový výchozí certifikát platný, je NUTNÉ provést "shut" a "no shut" na rozhraní/propojení VLTi primárního přepínače VLT.	Upgrade na verzi >=10.5.1.0 před 27. červencem 2021
VxRail – SFS – jeden rack	Aktualizujte výchozí certifikát na nový pomocí skriptů dodaných společností Dell na všech uzlech. Aby nový výchozí certifikát vstoupil v platnost, je MUSÍ: - Restartujte primární SFS – při nasazení s více clustery také restartujte jeden z partnerských uzlů VLT v každém páru VLT.	Upgrade na verzi >=10.5.2.2 před 27. červencem2021
VxRail-SFS-více racků
Katalogové číslo S5148	Proveďte upgrade na verzi 10.4.3.x a poté aktualizujte výchozí certifikát na nový pomocí skriptů dodaných společností Dell na všech uzlech. Aktualizujte výchozí certifikát na nový pomocí skriptů dodaných společností Dell na všech uzlech. Aby byl nový výchozí certifikát platný, je NUTNÉ provést "shut" a "no shut" na rozhraní/propojení VLTi primárního přepínače VLT.	Stejné jako doporučené rozlišení.

POZNÁMKA: Pro překlopení linky VLTi nebo restart přepínače je vyžadováno časové období údržby, protože mohou potenciálně narušit tok síťového provozu. Při výpočtu časového období údržby:       

• U skriptu počkejte 3 až 5 minut na každé zařízení. Když je skript spuštěný, provoz to neovlivní.
• Pro upgrade systému OS10 odhadněte dobu 30 minut na uzel při přechodu z jedné verze na druhou.

Balíček se skriptem "Dell Networking Default X.509 Certificate Update" je k dispozici v aplikaci Dell Digital Locker s nárokem na systém OS10. Název souboru balíčku skriptu je "cert_upgrade_script" a obsahuje soubor README, který obsahuje podrobné pokyny ke spuštění skriptů. Klikněte na přepínač v účtu DDL a poté přejděte na dostupné soubory ke stažení, kde se zobrazí balíček skriptů.

Další podrobnosti o přihlášení a stažení skriptu naleznete v článku Dell Networking Jak stáhnout Cert_Upgrade_Script systému OS10 z aplikace Dell Digital Locker

.Další podrobné pokyny, jak dokončit aktualizaci certifikátu, najdete v těchto článcích:

Vyberte jednu možnost

Dell Networking OS10 Jak spustit aktualizaci certifikátu ze systému Linux

DellNetworking OS10 Jak spustit aktualizaci certifikátu přímo z přepínače

OS10Dell Networking OS10 Jak spustit aktualizaci certifikátu ze systému Windows pomocí Pythonu

Zde je video ukazující proces aktualizace certifikátu pomocí skriptu Python.

POZNÁMKA: V závislosti na tom, kam máte soubor skriptu uložen, můžete mít k souboru jinou cestu, než jaká je použita v tomto videu.





POZOR: Všechny přepínače v clusteru nebo VLT musí mít stejný nainstalovaný certifikát pro komunikaci clusteru nebo VLT. Během stejného časového období údržby je nutné spustit skript na všech uzlech v clusteru a VLT.

Po aktualizaci výchozího certifikátu na přepínačích mějte na paměti následující:      

• Pokud provedete downgrade na jinou verzi softwaru se starým výchozím certifikátem, může k problému dojít znovu.
• Pokud spouštíte z jiného oddílu, který má stále starý výchozí certifikát, může k problému dojít znovu.
• Pokud nahradíte přepínač verzí používající starý výchozí certifikát, může k problému dojít znovu.

Pokud by došlo k některému z těchto scénářů, měli byste:     

•   Pomocí skriptu znovu aktualizujte výchozí certifikát.

ALERT: Certifikát se nepoužívá, pokud všechny systémy v clusteru používají verzi 10.5.1.0 nebo novější. Pokud cluster používá smíšené verze systému OS10 a některé uzly využívají verzi 10.5.0.x a nižší. Systémy s verzí 10.5.1.x nebo vyšší pak musí spustit skript pro instalaci nového certifikátu, aby uzly vytvořily cluster.

Některé nové přepínače dodávané s verzí 10.4.3 nebo 10.5.0 už mají nainstalovaný nový výchozí certifikát. Některé náhradní přepínače mají navíc nainstalovaný nový výchozí certifikát. Tyto jednotky jsou označeny nálepkou na jednotce s nápisem "Cert Updated".

Použití takového přepínače v clusteru VLT nebo SFS  

• Nový výchozí certifikát musí být nainstalovaný u všech přepínačů v clusteru.