Connectrix Brocade B-Serien: HTTPS-tjänsten är inaktiverad på grund av ogiltigt certifikat
Summary: HTTPS-tjänsten är inaktiverad på grund av ogiltigt certifikat
Symptoms
Uppgradera från 8.0.2d till 8.1.2f.
Efter uppgradering till FOX 8.1.x eller senare inaktiveras https med nedanstående meddelanden. Switchen är inte längre tillgänglig via HTTPS. Försök att återimportera det befintliga signerade HTTPS-certifikatet eller ett nytt certifikat genererar följande meddelande: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Switchen är inte längre tillgänglig via HTTPS.
Ett möjligt ytterligare symptom ur ett ledningsperspektiv:
- CMCNE med https kan inte längre identifiera switch(ar) och när:
- Vid ändring av lösenordet för switchen på upptäcktsskärmen i CMCNE rapporterades ett fel:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Orsaken är FOS-säkerhetsförbättringar i FOS v8.1. Enligt Brocades versionskommentarer för Fabric OS v8.1.2f måste administratörer, vid uppgradering till FOS 8.1.0b och senare och med HTTPS aktiverat, ha certifikatutfärdaren (CA), mellanliggande certifikat och rotcertifikat installerade för att säkerställa att certifikatvalideringskedjan lyckas. HTTPS är inaktiverat i FOS v8.1.0b eller senare om certifikatkedjan misslyckas.
Kontrollera om certifikatutfärdaren är korrekt och verifieringen av certifikatutfärdarkedjan lyckas genom att köra följande kommando på en Linux-server: #openssl verify -CAfile ca.pem servercert.pem
Det finns en KB-artikel #13013 från Broadcom som vi också kan referera till.
Resolution
Importera CA-certifikatet från den certifikatutfärdare som användes för att signera det befintliga certifikatet med följande kommando: #seccertmgmt import -ca -server https -certname <cert_name>
Obs! CA-certifikatet måste innehålla den fullständiga kedjan som användes för att signera HTTPS-certifikatet. Ytterligare information om det här kravet finns i administratörshandboken för FOS 8.2.0 under "Skapa en fullständig kedja av CA-certifikat".
När CA-certifikatet har importerats aktiverar switchen HTTPS automatiskt: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.