Домен даних: веб-інтерфейс недоступний через прострочений сертифікат https

• Наступне 404 HTTP помилки або інший веб-сервіс Apache можуть бути виявлені після закінчення терміну дії сертифіката:
  
• Можуть бути й інші помилки, наприклад, відсутність ресурсів.

• Загалом, інтерфейс недоступний.

• Проблема також проявляється у вигляді помилки входу користувача в інтерфейсі.

Коли HTTPS або сертифікат CA закінчується на домені даних (DD), це спричиняє проблеми з веб-сервером Apache. Це знижує інтерфейс і робить його недоступним.

Якщо домен даних знаходиться в конфігурації інтегрованого пристрою захисту даних або сховища кібервідновлення, розгляньте, як ці системи контролюють домен даних за допомогою сертифікатів. Підтримка може знадобитися, коли сертифікат закінчується, а потім додається новий.

Це не є проблемою для доменів даних у DLm-рішеннях, оскільки DLm не потребує і не використовує HTTP or HTTPS доступ для спілкування з доменом даних. Оновлення сертифікатів у домені даних можуть здійснюватися без переривання обробки монтажу стрічки DLm.

1. Перевірте, чи HTTPS, CA, або обидва сертифікати мають прострочення:

sysadmin@DD6400# adminaccess certificate show
Subject                                              Type            Application   Valid From                 Valid Until                Fingerprint
--------------------------------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport                                     host            https         Thu Sep 11 22:30:27 2025   Sun Oct 11 22:30:27 2026   30:89:8A:9D:BD:67:75:DC:D8:98:84:C6:CD:8F:9F:21:34:24:1B:87
DD6400.ddsupport                                     ca              trusted-ca    Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96

Повідомлення HTTPS сертифікат хоста дійсний 1 рік, а сертифікат CA — 6 років.

2. Якщо вони не прострочені, інтерфейс може бути не працювати через наведені нижче проблеми:
   1. Якщо сертифікат достатньо старий, він не відповідатиме новим стандартам безпеки, і інтерфейс користувача не з'явиться. Новий сертифікат має бути згенерований на наступних етапах.
   2. Домен даних: Доступ до інтерфейсу неможливий після оновлення до DDOS або DDMC 6.2.1.90, 7.2.0.95, 7.7.2.2.x або новіших

3. Якщо сертифікат CA прострочений, перевірте трасти, які встановлені:

sysadmin@DD6400# adminaccess trust show
Subject                   Type         Valid From                 Valid Until                Fingerprint
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport          trusted-ca   Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96
DDMCLAB-2.201             trusted-ca   Mon Jul 08 03:02:34 2024   Sun Jul 07 03:02:34 2030   E8:C1:79:5B:B4:2A:02:3A:55:4A:9A:52:AB:FC:D2:01:E7:7A:6C:CA
CorkDDMC.localdomain      trusted-ca   Tue Aug 06 04:29:41 2024   Mon Aug 05 04:29:41 2030   4B:29:2B:D3:DB:3E:62:16:98:D1:6C:36:4C:DF:2F:94:3C:A1:A8:27
DD6900-2.ddsupport.emea   trusted-ca   Sat Feb 03 20:49:25 2024   Fri Feb 01 20:49:25 2030   DC:95:CC:4A:F4:AC:58:58:5E:19:2D:05:F3:99:D9:86:14:32:7F:88
DD9900-HA-P0.ddsupport    trusted-ca   Sat Oct 05 05:08:35 2024   Fri Oct 04 05:08:35 2030   38:FD:E8:B6:C6:2F:30:42:17:93:73:F5:AE:25:3D:53:3E:F5:5C:C4
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------

Доступні сертифікати поточного домену даних (за його ім'ям хоста) та сертифікати інших доменів даних або PowerProtect DD Management Center.

Якщо ці трасти потрібно відновити, користувач повинен використовувати паролі системного адміністратора для будь-яких доменів даних або центрів управління доменами даних у парі довіри для відновлення після створення нового сертифіката CA. Деякі трасти можуть бути застарілими через старі контексти реплікації і не потребують повторного додавання.

4. Є додаткові аспекти, якщо до цього DD пов'язано PPDM або Cyber Recovery, і нам потрібно поновити сертифікат CA:
   1. Для PPDM: відновлення PowerProtect Data Manager VM припиняє відповідь і не працює через проблему з сертифікатом домену даних
   2. Для CR: Cyber Recovery: Після оновлення програмного забезпечення пристрою Vault почніть показувати статус як деградований через непорозуміння пристрою 
      
      
5. Перевірте, чи HTTPS сертифікат — це самопідписаний сертифікат або, якщо користувач підписує його у Центрі сертифікації (CA):

# adminaccess certificate show imported-host application https

Якщо ця команда щось повертає, користувач підписує сертифікат зовні за допомогою CA. Інакше, якщо імпортованого сертифіката хоста немає, сертифікат підписується самостійно.

Навіть якщо імпортований сертифікат дійсний і не прострочений, якщо самопідписаний сертифікат вже прострочений, його потрібно поновити як у наступних кроках. Власнопідписаний сертифікат хоста також використовується внутрішньо для внутрішньої комунікації DD UI з SMS-сервісом.

5. Якщо HTTPS сертифікат підписується зовні, генеруйте новий запит на підписання сертифіката (CSR). Користувач передає це своєму CA для підписання та імпортує підписаний сертифікат назад у домен даних. Слідуйте статті «Домен даних: як згенерувати запит на підписання сертифіката та використовувати зовнішні підписані сертифікати».

DDOS підтримує один сертифікат хоста для HTTPS. Якщо система використовує сертифікат хоста, включаючи самопідписаний, і користувач хоче використати інший сертифікат, видаліть поточний сертифікат перед додаванням нового сертифіката.

6. Якщо сертифікат CA прострочений і це система HA, необхідно залучити підтримку для виправлення сертифікатів. Інакше відновіть новий HTTPS та сертифікат CA з такою командою:

# adminaccess certificate generate self-signed-cert regenerate-ca

Зверніть увагу, що після генерації дійсна дата початку HTTPS Сертифікат видається на місяць у минулому, а сертифікат CA — на рік у минулому, і це зроблено навмисно.

Потім перейдіть до кроку 8, щоб перезапустити UI-сервіси.

7. Якщо сертифікат самопідписаний і лише HTTPS сертифікат прострочений, і це система HA, слідкуйте цій статті: Домен даних: Система HA, що працює у деградованому стані, самопідписаний сертифікат хоста прострочений, інакше — відновити новий HTTPS Сертифікат з:

# adminaccess certificate generate self-signed-cert

Зверніть увагу, що після генерації дійсна дата початку HTTPS Сертифікат подається за місяць тому і буде дійсним протягом року, що зроблено навмисно.

8. Якщо сертифікат CA було відновлено, користувач повинен відновити будь-яку необхідну довіру. Центр управління PowerProtect DD потребує довіри для моніторингу та налаштування реплікації за допомогою інтерфейсу. Якщо так, користувач повинен створити траст, щоб це працювало.

9. Для будь-яких доменів даних або центрів управління доменами даних, які потребують довіри, виконайте цю команду для видалення старого довіри, а потім відновіть довіру, використовуючи новий сертифікат на поточному домені даних (це запитує пароль системного адміністратора на інших доменах даних або центрах управління доменом даних. Переконайтеся, що користувач має всі домени даних або центри управління доменами даних, або видаліть довіру до будь-яких доменів даних або центрів управління доменами даних, які були виведені з експлуатації без їх повернення.

Використайте команду без type mutual Коли це роблять.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

# adminaccess trust del host dd690.dssupport.emea

10. Після відновлення трасту за потреби перезапустіть UI-сервіси:

# adminaccess show
Service       Enabled   Allowed Hosts
-----------   -------   -------------
ssh           yes       -
scp           yes       (same as ssh)
telnet        no        -
ftp           no        -
ftps          no        -
http          no        -
https         yes        -
web-service   yes       N/A
-----------   -------   -------------

Цей результат показує, що HTTP є інвалідним, і HTTPS Enabler 

# adminaccess disable https
# adminaccess enable https

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

11. Інтерфейс користувача тепер має бути доступним.

Це відео також можна переглянути на YouTube.