Connectrix Brocade. Коммутатору не удается установить соединение с настроенным сервером защищенного syslog.
Summary: После импорта сертификата CA сервера Secure Syslog с помощью команды secccertmgmt и настройки IP-адреса сервера безопасного syslog с помощью команды syslogadmin коммутатору не удается установить соединение с сервером безопасного syslog. ...
Symptoms
После импорта сертификата CA сервера Secure Syslog с помощью команды secccertmgmt и настройки IP-адреса сервера безопасного syslog с помощью команды syslogadmin коммутатору не удается установить соединение с сервером безопасного syslog.
sw0:admin> seccertmgmt show -all
ssh private key:
Exists
ssh public keys available for users:
None
| Протокол | Источник сертификатов клиента | Сервер CA | ПО | CSR | Ключ PVT | Passphrase |
|---|---|---|---|---|---|---|
| ФКАП | Пусто | NA | Пусто | Пусто | Пусто | Пусто |
| РАДИУС | Пусто | Пусто | Пусто | Пусто | Пусто | NA |
| LDAP | Пусто | Пусто | Пусто | Пусто | Пусто | NA |
| СИСТЕМНЫЙ ЖУРНАЛ | Пусто | Существовать | Пусто | Пусто | Пусто | NA |
| HTTPS | NA | Пусто | Существовать | Пусто | Существовать | NA |
sw0:admin> syslogadmin --show -ip
syslog.1 192.168.0.100 secure: port 5003
Признак.
Сервер syslog может содержать следующие ошибки в своих журналах: Nov 13 20:45:51 syslog01 rsyslogd: gnutls returned error on handshake: The TLS connection was non-properly terminated. Nov 13 20:45:51 syslog01 rsyslogd: rsyslogd: gnutls returned error on handshake: The TLS connection was non-properly terminated Nov 13 20:45:51 syslog01 rsyslogd: unexpected GnuTLS error -12 in nsdsel_gtls.c:178: A TLS fatal alert has been received. Nov 13 20:45:51 syslog01 rsyslogd: rsyslogd: unexpected GnuTLS error -12 in nsdsel_gtls.c:178: A TLS fatal alert has been received. Nov 13 20:45:51 syslog01 rsyslogd: rsyslogd: netstream session 0x7f993c00e0c0 from 192.168.0.1 will be closed due to error Nov 13 20:45:51 syslog01 rsyslogd: netstream session 0x7f993c00e0c0 from 192.168.0.1 will be closed due to error
Cause
Причину:
Коммутатор отклонит сессию TLS с сервером syslog из-за получения неизвестного сертификата. Это происходит из-за того, что сертификат сервера syslog не содержит IP-адрес сервера syslog. В результате коммутатор не может проверить полученный сертификат на соответствие импортированному сертификату и впоследствии разрывает подключение.
Resolution
Измените конфигурацию коммутатора, чтобы вместо IP-адреса использовать полное доменное имя сервера защищенного syslog. Возможно, потребуется обновить команду dnsconfig, чтобы коммутатор мог разрешить имя защищенного сервера syslog. После завершения коммутатор сможет установить защищенный сеанс TLS с сервером защищенного syslog.
Примеры команд:
dnsconfig --add -domain dns.brocade.com -serverip1 192.168.0.200 syslogadmin --set -ip syslog01.lab.brocade.com -secure -port 5003