Connectrix Brocade B-serie: HTTPS-service uitgeschakeld vanwege ongeldig certificaat
Summary: HTTPS-service uitgeschakeld vanwege ongeldig certificaat
Symptoms
Upgrade van 8.0.2d naar 8.1.2f.
Na het upgraden naar FOX 8.1.x of hoger, is https uitgeschakeld met onderstaande berichten. De switch is niet meer toegankelijk via HTTPS. Pogingen om het bestaande ondertekende HTTPS-certificaat opnieuw te importeren of een nieuw certificaat genereren het volgende bericht: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
De switch is niet meer toegankelijk via HTTPS.
Een mogelijk bijkomend symptoom vanuit managementperspectief:
- CMCNE met https kan de switch(es) niet meer detecteren en wanneer:
- Bij het wijzigen van het wachtwoord van de switch in het detectiescherm van CMCNE, werd er een fout gemeld:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
De reden hiervoor is een FOS-beveiligingsverbetering in FOS v8.1. Volgens de releaseopmerkingen van Brocade Fabric OS v8.1.2f moeten beheerders bij het upgraden naar FOS 8.1.0b en hoger en als HTTPS is ingeschakeld, het certificaatautoriteit (CA), het tussenliggende certificaat en het rootcertificaat hebben geïnstalleerd om ervoor te zorgen dat de keten van certificaatvalidatie succesvol is. HTTPS is uitgeschakeld in FOS v8.1.0b of hoger als de keten van certificaatvalidatie mislukt.
Om te controleren of de CA correct is en de validatie van de CA-keten is geslaagd, voert u de volgende opdracht uit op een Linux-serve: #openssl verify -CAfile ca.pem servercert.pem
Er is Broadcom KB-artikel #13013 waarnaar we ook kunnen verwijzen.
Resolution
Importeer het CA-certificaat van de CA die is gebruikt om het bestaande certificaat te ondertekenen met de volgende opdracht: #seccertmgmt import -ca -server https -certname <cert_name>
Opmerking: Het CA-certificaat moet de volledige keten bevatten die is gebruikt om het HTTPS-certificaat te ondertekenen. Meer informatie over deze vereiste vindt u in de FOS 8.2.0 Administrator's Guide onder "Een volledige keten van CA-certificaten maken".
Zodra het CA-certificaat is geïmporteerd, schakelt de switch HTTPS automatisch opnieuw in: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.