Avamar: So ersetzen Sie das SHA-1-signierte SSL-Zertifikat von Apache Web Server

Zusammenfassung: Avamar: So ersetzen Sie das SHA-1-signierte SSL-Zertifikat von Apache Web Server

Dieser Artikel gilt für Dieser Artikel gilt nicht für Dieser Artikel ist nicht an ein bestimmtes Produkt gebunden. In diesem Artikel werden nicht alle Produktversionen aufgeführt.
Andere Ressourcen ansehen

Symptome



Beim Versuch, über einen Webbrowser eine Verbindung zum NetWorker Virtual Edition-(NVE-), Avamar-Server oder Avamar Extended Retention-(AER-)Node herzustellen, meldet der Browser einen Netzwerkverbindungsfehler und verweigert die Verbindung, obwohl der Apache-Webserver auf der NVE, dem Avamar-Server oder dem AER-Node normal funktioniert.

Ursache

Die Unterstützung für SSL-Zertifikate, die mit SHA-1 signiert wurden, wurde von den wichtigsten Webbrowser-Anbietern zum 1. Januar 2017 eingestellt. Bestimmte standardmäßige NVE-, Avamar- und AER-Zertifikate werden mit SHA-1 signiert.

Lösung

  1. Melden Sie sich beim Avamar-Utility-Node oder Single-Node-Server als Admin-Nutzer an und führen Sie dann den folgenden Befehl aus, um zum Root-Nutzer zu wechseln:
Su-

Anmerkung: Das Trailing - ist wichtig!
  1. Wechseln Sie in das Apache-Konfigurationsverzeichnis:
cd /etc/apache2
  1. Vergewissern Sie sich, dass das aktuelle Zertifikat mit SHA-1 signiert ist:
openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signatur"

Beispielausgabe:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signatur"
Signaturalgorithmus: sha1WithRSAEncryption
Signaturalgorithmus: sha1WithRSAEncryption

Hinweis: Wenn der Signaturalgorithmus nicht als SHA-1 gemeldet wird, fahren Sie mit diesem Verfahren nicht fort
  1. Sichern Sie das vorhandene Zertifikat:
cp ssl.crt/server.crt ssl.crt/server.crt.bak.'date -I'
  1. Erzeugen Sie eine "Zertifikatsignierungsanforderung" aus dem vorhandenen Zertifikat:
openssl x509 -in ssl.crt/server.crt -signkey ssl.key/server.key -x509toreq -out ssl.csr/server.csr

Beispielausgabe:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -signkey ssl.key/server.key -x509toreq -out ssl.csr/server.csr
Anfordern des privaten Schlüssels
Zertifikatsanforderung wird generiert
  1. Überprüfen Sie, ob das Zertifikat selbstsigniert oder von einer Zertifizierungsstelle (CA-signiert) signiert ist:
[ 'openssl x509 -in ssl.crt/server.crt -text -noout | grep "Betreff: \|Emittent: " | sed 's/.*:\(.*\)/\1/' | UNIQ | wc -l' -eq "1" ] && echo "Selbstsigniert" || echo "CA signiert"

Hinweis: Dieser Befehl sollte in einer einzigen Zeile eingegeben werden. Alle Interpunktionszeichen sind wichtig. Es wird empfohlen, sie zu kopieren und einzufügen.

Beispielausgabe für ein CA-signiertes Zertifikat:
root@avamar:/etc/apache2/#: [ 'openssl x509 -in ssl.crt/server.crt -text -noout | grep "Betreff: \|Emittent: " | sed 's/.*:\(.*\)/\1/' | UNIQ | wc -l' -eq "1" ] && echo "Selbstsigniert" || echo "CA Signed"
CA Signed

Beispielausgabe für ein selbstsigniertes Zertifikat:root@avamar:/etc/apache2/#:
[ 'openssl x509 -in ssl.crt/server.crt -text -noout | grep "Betreff: \|Emittent: " | sed 's/.*:\(.*\)/\1/' | UNIQ | wc -l' -eq "1" ] && echo "Selbstsigniert" || echo "CA Signed"
Selbstsigniert
  1. Erzeugen und installieren Sie das Ersatzzertifikat:
    1. Für CA-signierte Zertifikate:
      1. Stellen Sie der Zertifizierungsstelle eine Kopie der in Schritt 5 erzeugten Zertifikatsignieranforderung zur Verfügung und fordern Sie sie auf, ein Ersatzzertifikat mit einem starken Signaturalgorithmus zu erzeugen. Die Zertifikatsignieranforderung befindet sich unter /etc/apache2/ssl.csr/server.csr
      2. Legen Sie das signierte Zertifikat, das von der Zertifizierungsstelle bereitgestellt wurde, auf dem Avamar Server in /etc/apache2/ssl.crt/server.crt ab.
      3. Überspringen Sie Schritt 7b und fahren Sie mit dem Verfahren ab Schritt 8 fort
Hinweis: Wenn die Zertifizierungsstelle aktualisierte Zertifikatskettendatei(en) zusammen mit dem neuen Zertifikat bereitgestellt hat, finden Sie in Anhang A Anweisungen zur Installation dieser Zertifikate.
  1. Für selbstsignierte Zertifikate:
    1. Erzeugen und Installieren eines Ersatzzertifikats
openssl x509 -sha256 -req -signkey ssl.key/server.key -in ssl.csr/server.csr -out ssl.crt/server.crt -days 1825

Beispielausgabe:
root@avamar:/etc/apache2/#: openssl x509 -sha256 -req -signkey ssl.key/server.key -in ssl.csr/server.csr -out ssl.crt/server.crt -days 1825
Signatur ok
subject=/C=US/ST=CA/L=Irvine/O=Dell EMC/OU=Avamar/CN=avamar.asl.lab.emc.com
  1. Vergewissern Sie sich, dass das neue Zertifikat mit SHA-256 oder einem anderen starken Signaturalgorithmus signiert wurde:
openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signatur"

Beispielausgabe:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signatur"
Signaturalgorithmus: sha256WithRSAEncryption
Signaturalgorithmus: sha256WithRSAEncryption
  1. Starten Sie den Apache Web Server neu:
Website-Neustart

Beispielausgabe:
root@avamar:/etc/apache2/#: website restart
===Herunterfahren der Website
Herunterfahren von httpd2 (warten auf die Beendigung aller untergeordneten Elemente) done
===Website starten
Starten von httpd2 (prefork)    
  1. Verfahren abgeschlossen

Weitere Informationen

Anhang A – Installieren aktualisierter Zertifikatskettendatei(en)
  1. Erstellen einer Kopie der vorhandenen Zertifikatskette
cp /etc/apache2/ssl.crt/ca.crt /etc/apache2/ssl.crt/ca.crt.bak.'date -I'
  1. Aktualisierte Zertifikatskettendatei(en) installieren
    1. Wenn die Zertifizierungsstelle separate Zwischenzertifikate bereitgestellt hat, kombinieren Sie sie in einer einzigen Kettendatei:
cat cert1 cert2 cert3 cert4 > /etc/apache2/ssl.crt/ca.crt
  1. Legen Sie andernfalls die von der Zertifizierungsstelle bereitgestellte Single-Chain-Datei auf dem Avamar-Server in /etc/apache2/ssl.crt/ca.crt ab.

Betroffene Produkte

Avamar

Produkte

Avamar
Artikeleigenschaften
Artikelnummer: 000170753
Artikeltyp: Solution
Zuletzt geändert: 13 Jän. 2026
Version:  5
Antworten auf Ihre Fragen erhalten Sie von anderen Dell NutzerInnen
Support Services
Prüfen Sie, ob Ihr Gerät durch Support Services abgedeckt ist.