Connectrix Brocade B-Serie: HTTPS-Service aufgrund eines ungültigen Zertifikats deaktiviert
Summary: HTTPS-Service aufgrund eines ungültigen Zertifikats deaktiviert
Symptoms
Führen Sie ein Upgrade von 8.0.2d auf 8.1.2f durch.
Nach dem Upgrade auf FOX 8.1.x oder höher wird HTTPS mit den folgenden Meldungen deaktiviert. Der Switch ist nicht mehr über HTTPS erreichbar. Beim Versuch, das vorhandene signierte HTTPS-Zertifikat oder ein neues Zertifikat erneut zu importieren, wird die folgende Meldung erzeugt: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Der Switch ist nicht mehr über HTTPS erreichbar.
Ein mögliches zusätzliches Symptom aus Sicht des Managements:
- CMCNE mit HTTPS ist nicht mehr in der Lage, den/die Switch(es) zu erkennen und wenn:
- Beim Ändern des Kennworts des Switches im Erkennungsbildschirm von CMCNE wurde ein Fehler gemeldet:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Der Grund dafür ist die FOS-Sicherheitsverbesserung in FOS v8.1. Laut den Versionshinweisen zu Brocade Fabric OS v8.1.2f müssen Administratoren beim Upgrade auf FOS 8.1.0b und höher mit aktiviertem HTTPS die Zertifizierungsstelle (CA), Zwischen- und Stammzertifikate installiert haben, um sicherzustellen, dass die Kette der Zertifikatsvalidierung erfolgreich ist. HTTPS ist in FOS v8.1.0b oder höher deaktiviert, wenn die Kette der Zertifikatsvalidierung fehlschlägt.
Um zu überprüfen, ob die CA korrekt ist und die CA-Kettenvalidierung erfolgreich ist, führen Sie den folgenden Befehl auf einem Linux-Server aus: #openssl verify -CAfile ca.pem servercert.pem
Es gibt den Broadcom KB-Artikel #13013, auf den wir ebenfalls verweisen können.
Resolution
Importieren Sie das CA-Zertifikat mithilfe des folgenden Befehls von der CA, die zum Signieren des vorhandenen Zertifikats verwendet wurde: #seccertmgmt import -ca -server https -certname <cert_name>
Hinweis: Das CA-Zertifikat muss die vollständige Kette enthalten, die zum Signieren des HTTPS-Zertifikats verwendet wurde. Weitere Informationen zu dieser Anforderung finden Sie im FOS 8.2.0 Administratorhandbuch unter "Erstellen einer vollständigen Kette von CA-Zertifikaten".
Sobald das CA-Zertifikat erfolgreich importiert wurde, aktiviert der Switch HTTPS automatisch erneut: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.