PowerSwitch: OS10: Udløb af certifikat og løsning

Specifikke versioner af OS10 (se Berørte softwareudgivelser) indeholder et standardcertifikat, der bruges til VLT-peeretablering og SFS-klyngedannelse. Dette standardcertifikat udløber den 27. juli 2021. Efter udløb opstår der problemer med trafiktilgængelighed, når en af disse switche efterfølgende genstarter switchen, linkklappen, operatørudløst konfigurationsændring, vMotion og andre netværkshændelser. Udløb af certifikat har ingen tilsvarende meddelelser i syslog, traps eller på brugergrænsefladen.

Berørte softwareudgivelser efter model:
 

OS10-version	Model
10.3.2ER3P1	Kun S5148F
10.4.0E. R3SP2 til 10.4.0E. R4SP2	Kun MX9116 og MX5108
10.4.1.4 til 10.4.3.6P5	Alle OS10-modeller (inkl. MX9116, MX5108 og S5148F)
10.5.0.0 til 10.5.0.7P3	Alle OS10-modeller (inkl. MX9116 og MX5108)

Løsning

BEMÆRK: Se det vedhæftede tekniske ark for at få en PDF-version af denne løsning, som du kan give til den tekniker, der skal udføre opgraderingen.

BEMÆRK: Brugere af Isilon Backend Ethernet bør ikke følge de procedurer, der beskrives i denne artikel. For Isilon henvises til KB-artikel 185548: Udløb af Dell-switchcertifikat på Dell Z9100-ON-switche, der bruges til Isilon Backend Ethernet for at få flere oplysninger om problemet. Artiklen kræver et kundelogin.

BEMÆRK:  Brugere af ECS Gen3-enhed bør ikke følge de procedurer, der er beskrevet i denne artikel. For ECS henvises til KB-artikel 185691: DTA 185691: ECS: Udløb af Dell OS10-switch X.509v3-sikkerhedscertifikat på ECS Front-End- og back-end-switche kan medføre, at data bliver utilgængelige for yderligere oplysninger om problemet. Artiklen kræver et kundelogin.

BEMÆRK: Brugere af berørte versioner fra 10.3.2.x til 10.4.2.x, certifikatopdatering er ikke tilgængelig. Brugere skal opgradere til 10.4.3.0 eller nyere (10.5.0.x eller nyere for MX) og skal følge nedenstående tabel.   

BEMÆRK:  For PowerEdge MX-brugere på 10.4.0E(R3SP2)- 10.4.0E(R4SP2): Hvis det ikke er muligt at opgradere til den seneste basislinje inden den 27. juli 2021, skal du kontakte Dells tekniske support for at få hjælp til opdatering af standardcertifikatet.

BEMÆRK: Følgende OS10-versionversioner leveres med det nye standardcertifikat, der løser dette problem med certifikatets udløb:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

ADVARSEL: For brugere, der vælger at opgradere til den nyeste firmware, SKALdu følge den opgraderingssti, der er angivet i afsnittet Forbereder en opgradering i dokumentet Installations-, opgraderings- og nedgraderingsvejledning til Dell EMC SmartFabric OS10 på vores supportwebsted.

For versionerne 10.4.3.0 til 10.5.0.7P3 skal brugerne følge opløsningen i henhold til denne tabel for at forhindre netværksproblemer på grund af standardcertifikatets udløb:       
 

Implementeringskategori	Anbefalet opløsning	Alternativt, hvis en opgradering er mulig.
Ikke-MX switche i ikke-VLT ikke-SFS tilstand	Kræver ingen handling.	Kræver ingen handling.
MX-SFSm ode	Opdater standardcertifikatet til et nyt standardcertifikat ved hjælp af Dells medfølgende scripts på alle noder. For at gøre det nye standardcertifikat gældende er det et MUST at: - Genstart SFS primært - Ved implementering af flere klynger skal du også genstarte en af VLT-peers i hvert VLT-par.	Opgrader til =10.5.1.7 inden den 27. juli 2021 Følg den opgraderingssti, der findes i brugervejledningen til >Dell EMC OpenManage Enterprise-Modular Edition til PowerEdge MX7000 Chassis Grundlæggende løsning MX7000 – Side 15-17 viser de kompatible komponenters firmwarebasislinjer. OS10-firmwareopdateringsmatrix – Side 22 beskriver opgraderingsstien for OS10-switche.
MX-Full-switch-tilstand
Switche i VLT ikke-SFS-tilstand	Opdater standardcertifikatet til et nyt standardcertifikat ved hjælp af Dells medfølgende scripts på alle noder. For at gøre det nye standardcertifikat gældende er det et MUST at udføre "shut" og "no shut" på VLT Primary switchens VLTi interface/link.	Opgrader til version >=10.5.1.0, før 27. juli 2021
VxRail-SFS-enkelt rack	Opdater standardcertifikatet til et nyt standardcertifikat ved hjælp af Dells medfølgende scripts på alle noder. For at gøre det nye standardcertifikat gældende er det et MUST: - Genstart SFS primært - Ved implementering af flere klynger skal du også genstarte en af VLT-peers i hvert VLT-par.	Opgrader til version >=10.5.2.2, inden den 27. juli2021
VxRail-SFS-multirack
S5148	Opgrader til 10.4.3.x, og opdater derefter standardcertifikatet til et nyt standardcertifikat ved hjælp af Dells medfølgende scripts på alle noder. Opdater standardcertifikatet til et nyt standardcertifikat ved hjælp af Dells medfølgende scripts på alle noder. For at gøre det nye standardcertifikat gældende er det et MUST at udføre "shut" og "no shut" på VLT Primary switchens VLTi interface/link.	Samme opløsning som anbefalet opløsning.

BEMÆRK: Der kræves et vedligeholdelsesvindue til genstart af VLTi-linkklap eller -switch, da disse potentielt kan forstyrre netværkstrafikstrømmen. Når du beregner dit vedligeholdelsesvindue:       

• For script skal der gå 3 til 5 minutter pr. enhed. Mens scriptet kører, påvirkes trafikken ikke.
• Ved opgradering af OS10 skal du estimere 30 minutter pr. node, når du går fra en version til den næste.

Scriptpakken "Dell Networking Standard X.509 Certificate Update" er tilgængelig i Dell Digital Locker med din OS10-rettighed. Scriptpakkens filnavn er "cert_upgrade_script", og den indeholder en README-fil, der indeholder detaljerede instruktioner om, hvordan scriptene køres. Klik på en switch i din DDL-konto, og gå derefter til tilgængelige downloads for at se scriptpakken.

Du kan finde flere oplysninger om, hvordan du logger på og downloader scriptet, under Dell Networking: Sådan downloader du OS10 Cert_Upgrade_Script fra Dell Digital Locker
Yderligere trinvise oplysninger om, hvordan du fuldfører certifikatopdateringen, findes i disse artikler:

Vælg et

Dell Networking OS10 Sådan køres certifikatopdatering fra Linux

Dell Networking OS10 Sådan køres certifikatopdatering direkte fra OS10-switchen


Dell Networking OS10 Sådan køres certifikatopdatering fra Windows med Python

Her er en video, der viser processen med at opdatere certifikatet ved hjælp af et python-script.

BEMÆRK: Afhængigt af hvor scriptfilen er gemt, kan der være en anden filsti end den, der bruges i denne video.





FORSIGTIGHED: Alle switche i en klynge eller VLT skal have det samme certifikat, som er installeret, til klynge- eller VLT-kommunikation. Det er obligatorisk at køre scriptet på alle noderne i klyngen og VLT i det samme vedligeholdelsesvindue.

Når du har opdateret standardcertifikatet på switchene, skal du være opmærksom på følgende:      

• Hvis du nedgraderer en anden softwareversion, der har det gamle standardcertifikat, kan du opleve problemet igen.
• Hvis du starter på en anden partition, der stadig har et gammelt standardcertifikat, kan du opleve problemet igen.
• Hvis du erstatter en switch med en version ved hjælp af det gamle standardcertifikat, kan du opleve problemet igen.

Hvis et af disse scenarier opstår, bør du:     

•   Brug scriptet til at opdatere standardcertifikatet igen.

ADVARSEL: Certifikatet bruges ikke, når alle systemer i en klynge bruger 10.5.1.0 eller nyere. Hvis klyngen kører med blandede versioner af OS10 med nogle noder, der kører 10.5.0.x og derunder. Derefter skal systemer, der kører 10.5.1.x eller nyere, køre scriptet for at installere det nye certifikat, for at noderne kan danne en klynge.

Nogle nye switche, der leveres med 10.4.3 eller 10.5.0, har allerede et nyt standardcertifikat installeret. Desuden er der installeret et nyt standardcertifikat for nogle serviceudskiftningsswitche. Disse enheder identificeres med et klistermærke på enheden, hvor der står "Cert Updated".

Sådan bruges en sådan switch i VLT- eller SFS-klyngen  

• Alle switche i klyngen skal have det nye standardcertifikat installeret.