Ablauf und Lösung des Dell Networking OS10-Zertifikats
Dieser Artikel wurde erstellt, um das Am 27. Juli 2021 ablaufende OS10 x.509v3-Sicherheitszertifikat zu behandeln. Das Skriptpaket "Dell Networking Default X.509 Certificate Update" ist auf Dell Digital Locker mit Ihrer OS10-Berechtigung verfügbar.
Summary:
Dieser Artikel wurde erstellt, um das Am 27. Juli 2021 ablaufende OS10 x.509v3-Sicherheitszertifikat zu behandeln. Das Skriptpaket "Dell Networking Default X.509 Certificate
Update" ist auf Dell Digital Locker mit Ihrer OS10-Berechtigung verfügbar.
...
This article may have been automatically translated. If you have any feedback regarding its quality, please let us know using the form at the bottom of this page.
Article Content
Instructions
Bestimmte Versionen von OS10 (siehe Betroffene Softwareversionen) enthalten ein Standardzertifikat, das für die VLT-Peer-Einrichtung und SFS-Clusterbildung verwendet wird. Dieses Standardzertifikat läuft am 27. Juli 2021 ab. Nach dem Ablauf treten Probleme mit der Erreichbarkeit des Datenverkehrs auf, wenn einer dieser Switches einen nachfolgenden Switchneustart, Link flap, eine vom Operator ausgelöste Konfigurationsänderung, vMotion und andere Netzwerkereignisse aufweist. Der Zertifikatablauf enthält keine entsprechenden Meldungen in Syslog, Traps oder auf der Benutzeroberfläche.
Betroffene Softwareversionen nach Modell:
OS10-Version
Modell
10.3.2ER3P1
Nur S5148F
10.4.0E R3SP2 bis 10.4.0E. R4SP2
Nur MX9116 und MX5108
10.4.1.4 bis 10.4.3.6P5
Alle OS10-Modelle (inkl. MX9116, MX5108 und S5148F)
10.5.0.0 bis 10.5.0.7P3
Alle OS10-Modelle (inkl. MX9116 und MX5108)
Lösung
HINWEIS: Im beigefügten Technischen Datenblatt finden Sie eine PDF-Version dieser Lösung, die Sie dem Techniker zur Verfügung stellen können, der das Upgrade durchführt.
HINWEIS: Benutzer betroffener Versionen von 10.3.2.x bis 10.4.2.x, Zertifikataktualisierung ist nicht verfügbar. Benutzer müssen ein Upgrade auf 10.4.3.0 oder höher (10.5.0.x oder höher für MX) durchführen und der folgenden Tabelle folgen.
HINWEIS: Wenn für PowerEdge MX-Benutzer auf 10.4.0E(R3SP2)-10.4.0E(R4SP2) ein Upgrade auf die neueste Baseline bis zum 27. Juli 2021 nicht möglich ist, wenden Sie sich an den technischen Support von Dell, um Unterstützung bei der Aktualisierung des Standardzertifikats zu erhalten.
HINWEIS: Die folgenden OS10-Versionsversionen verfügen über das neue Standardzertifikat, das dieses Zertifikatablaufproblem behebt:
10.4.3.7 10.5.0.9 10.5.1.9 10.5.2.6
Für die Versionen 10.4.3.0 bis 10.5.0.7P3 müssen Benutzer die Lösung gemäß dieser Tabelle befolgen, um Netzwerkprobleme aufgrund des Standardmäßigen Zertifikatablaufs zu vermeiden:
Bereitstellungskategorie
Empfohlene Lösung
Alternativ können Sie ein Upgrade durchführen.
Nicht-MX-Switche im Nicht-VLT-Nicht-SFS-Modus
Es ist keine Maßnahme erforderlich.
Es ist keine Maßnahme erforderlich.
MX- SFS Mode
Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat.
Damit das neue Standardzertifikat wirksam wird, muss Folgendes durchgeführt werden: - SfS primary neu starten: Starten Sie in der Multicluster-Bereitstellung auch einen der VLT-Peers in jedem VLT-Paar neu.
OS10 Firmware Update Matrix – Seite 22 beschreibt den Upgradepfad für OS10-Switches.
MX-Full-Switch-Modus
Switches im VLT-Nicht-SFS-Modus
Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat.
Damit das neue Standardzertifikat wirksam wird, muss auf der VLTi-Schnittstelle/dem VLTi-Link des primären VLT-Switches "shut" und "no shut" durchgeführt werden.
Upgrade auf Version >=10.5.1.0, vor dem 27. Juli 2021
VxRail-SFS – einzelnes Rack
Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat.
Damit das neue Standardzertifikat wirksam wird, ist es EIN MUSS: - SfS primary neu starten: Starten Sie in der Multicluster-Bereitstellung auch einen der VLT-Peers in jedem VLT-Paar neu.
Upgrade auf Version >= 10.5.2.2, vor dem 27. Juli2021
VxRail-SFS– Multi-Rack
S5148
Führen Sie ein Upgrade auf 10.4.3.x durch und aktualisieren Sie dann das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat.
Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat.
Damit das neue Standardzertifikat wirksam wird, muss auf der VLTi-Schnittstelle/dem VLTi-Link des primären VLT-Switches "shut" und "no shut" durchgeführt werden.
Identisch mit empfohlener Auflösung.
HINWEIS: Ein Wartungsfenster ist für VLTi-Link-Flap oder Switch-Neustart erforderlich, da dies den Netzwerkdatenverkehr möglicherweise unterbrechen kann. Bei der Berechnung Ihres Wartungszeitfensters:
Lassen Sie für das Skript 3 bis 5 Minuten pro Gerät zu. Während das Skript ausgeführt wird, wird der Datenverkehr nicht beeinträchtigt.
Schätzen Sie für das Upgrade von OS10 schätzungsweise 30 Minuten pro Node, wenn Sie von einer Version zur nächsten wechseln.
Das Skriptpaket "Dell Networking Default X.509 Certificate Update" ist auf Dell Digital Locker mit Ihrer OS10-Berechtigung verfügbar. Der Dateiname des Skriptpakets ist "cert_upgrade_script" und enthält eine README-Datei mit detaillierten Anweisungen zur Ausführung der Skripte. Klicken Sie auf einen Schalter in Ihrem DDL-Konto und navigieren Sie dann zu den verfügbaren Downloads, um das Skriptpaket anzuzeigen.
Hier ist ein Video, das den Prozess zum Aktualisieren des Zertifikats mithilfe eines Python-Skripts zeigt.
HINWEIS: Je nachdem, wo Sie Ihre Skriptdatei gespeichert haben, haben Sie möglicherweise einen anderen Dateipfad als in diesem Video verwendet.
VORSICHT: Alle Switches in einem Cluster oder VLT müssen über dasselbe Zertifikat verfügen, das für die Cluster- oder VLT-Kommunikation installiert ist. Es ist zwingend erforderlich, das Skript auf allen Nodes im Cluster und VLT während desselben Wartungsfensters auszuführen.
Beachten Sie nach dem Aktualisieren des Standardzertifikats auf den Switches Folgendes:
Wenn Sie eine andere Softwareversion mit dem alten Standardzertifikat zurückstufen, tritt das Problem möglicherweise erneut auf.
Wenn Sie auf einer anderen Partition starten, die noch über ein altes Standardzertifikat verfügt, tritt das Problem möglicherweise erneut auf.
Wenn Sie einen Switch mithilfe des alten Standardzertifikats durch eine Version ersetzen, tritt das Problem möglicherweise erneut auf.
Sollte eines dieser Szenarien auftreten, sollten Sie Folgendes tun:
Verwenden Sie das Skript, um das Standardzertifikat erneut zu aktualisieren.
Warnmeldung: Das Zertifikat wird nicht verwendet, wenn alle Systeme in einem Cluster 10.5.1.0 oder höher verwenden. Wenn das Cluster mit gemischten Versionen von OS10 mit einigen Nodes mit 10.5.0.x und niedriger ausgeführt wird. Dann müssen Systeme, auf denen 10.5.1.x oder höher ausgeführt wird, das Skript ausführen, um das neue Zertifikat für die Nodes zu installieren, um ein Cluster zu bilden.
Bei einigen neuen Switches, die mit 10.4.3 oder 10.5.0 ausgeliefert werden, ist bereits ein neues Standardzertifikat installiert. Darüber hinaus ist bei einigen Serviceaustauschswitchen ein neues Standardzertifikat installiert. Diese Einheiten sind durch einen Aufkleber auf der Einheit mit der Aufschrift "Cert Updated" gekennzeichnet.
So verwenden Sie einen solchen Switch im VLT- oder SFS-Cluster
Auf allen Switches im Cluster muss das neue Standardzertifikat installiert sein.