Connectrix Brocade serie B: Servicio HTTPS deshabilitado debido a un certificado no válido
Summary: Servicio HTTPS deshabilitado debido a un certificado no válido
Symptoms
Actualice de 8.0.2d a 8.1.2f.
Después de actualizar a FOX 8.1.x o posterior, https se deshabilita con los siguientes mensajes. Ya no se puede acceder al switch a través de HTTPS. Los intentos de volver a importar el certificado HTTPS firmado existente o un certificado nuevo generan el siguiente mensaje: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Ya no se podrá acceder al switch a través de HTTPS.
Un posible síntoma adicional desde una perspectiva de administración:
- CMCNE con https ya no puede detectar los switches y cuando:
- Al cambiar la contraseña del switch en la pantalla de descubrimiento de CMCNE, se informó un error:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Esto se debe a la mejora de la seguridad de FOS en FOS v8.1. De acuerdo con las notas de la versión de Fabric OS v8.1.2f de Brocade, cuando se actualiza a FOS 8.1.0b y versiones posteriores, y se habilita HTTPS, los administradores deben tener instalados los certificados de autoridad de certificación (CA), intermedios y raíz para garantizar que la cadena de validación de certificados sea exitosa. HTTPS se deshabilita en FOS v8.1.0b o posterior si falla la cadena de validación de certificados.
Para verificar si la CA es correcta y si la validación de la cadena de CA se realizó correctamente, ejecute el siguiente comando en un servidor de Linux: #openssl verify -CAfile ca.pem servercert.pem
También podemos hacer referencia al artículo #13013 de la base de conocimientos de Broadcom.
Resolution
Importe el certificado de CA desde la CA que se utilizó para firmar el certificado existente mediante el siguiente comando: #seccertmgmt import -ca -server https -certname <cert_name>
Nota: El certificado de CA debe contener la cadena completa que se utilizó para firmar el certificado HTTPS. Se indica información adicional sobre este requisito en la Guía del administrador de FOS 8.2.0 en "Creación de una cadena completa de certificados de CA".
Una vez que el certificado de CA se importa correctamente, el switch vuelve a habilitar HTTPS automáticamente: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.