Connectrix Brocade serie B: Servizio HTTPS disabilitato a causa di certificato non valido
Summary: Servizio HTTPS disabilitato a causa di certificato non valido
Symptoms
Eseguire l'aggiornamento dalla versione 8.0.2d alla 8.1.2f.
Dopo l'aggiornamento a FOX 8.1.x o versione successiva, https viene disabilitato con i messaggi seguenti. Lo switch non è più accessibile tramite HTTPS. I tentativi di reimportare il certificato HTTPS firmato esistente o un nuovo certificato generano il seguente messaggio: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Lo switch non è più accessibile tramite HTTPS.
Un possibile sintomo aggiuntivo dal punto di vista gestionale:
- CMCNE con https non è più in grado di rilevare gli switch e quando:
- Modificando la password dello switch nella schermata di rilevamento di CMCNE, veniva segnalato un errore:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Il motivo è il miglioramento della sicurezza FOS in FOS v8.1. In base alle note di rilascio di Brocade Fabric OS v8.1.2f, quando si esegue l'aggiornamento a FOS 8.1.0b e versioni successive e HTTPS è abilitato, gli amministratori devono disporre dell'autorità di certificazione (CA), dei certificati intermedi e root installati per garantire che la catena di convalida dei certificati abbia esito positivo. HTTPS viene disabilitato in FOS v8.1.0b o versioni successive se la convalida della catena di certificati non riesce.
Per verificare se la CA è corretta e se la convalida della catena CA ha esito positivo, eseguire il seguente comando su un server Linux: #openssl verify -CAfile ca.pem servercert.pem
È presente anche l'articolo #13013 della Knowledge Base di Broadcom a cui è possibile fare riferimento.
Resolution
Importare il certificato CA dalla CA utilizzata per firmare il certificato esistente, utilizzando il seguente comando: #seccertmgmt import -ca -server https -certname <cert_name>
Nota: Il certificato CA deve contenere la catena completa utilizzata per firmare il certificato HTTPS. Ulteriori informazioni su questo requisito sono riportate nella Guida dell'amministratore di FOS 8.2.0 in "Creazione di una catena completa di certificati CA".
Una volta importato il certificato CA, lo switch riabilita automaticamente HTTPS: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.