SANnav de Connectrix: El servicio de proxy no se inicia después de reemplazar el certificado SSL por firmado por una CA

[VMware] root@olsannav.kba.de /opt/sannav/Portal_2.4.0_bld249/bin # sh ./replace-sannav-certificates.sh

Enter the path for the chained CA certificate including the file name (If you have an intermediate certificate chain the same with root and provide the path including file name.) :
/tmp/ca-chain.crt

Enter the path for the private key including the file name :
/tmp/olsannav.kba.de.key

Enter the password for private key (/tmp/olsannav.kba.de.key). If the private key is not password protected, press Enter :

Enter the path for the SSL certificate to be installed on olsannav.kba.de including the file name. Ensure that the Common Name of the certificate matches the FQDN of the host olsannav.kba.de.
/tmp/olsannav.kba.de.crt
No extensions in certificate

Successfully validated the certificate and the private key.
Stopping the SANnav Management Portal server to apply the certificates.
Stopped the SANnav Management Portal server to apply the certificates.
Starting SANnav Management Portal services.
Services have been started.
Waiting and checking for SANnav server to be ready. This may take a few minutes.
[|]
Some services are still not up. Run the script (/opt/sannav/Portal_2.4.0_bld249/bin/check-sannav-status.sh) to check SANnav startup status.
If all services are not up after an additional 15 minutes, run the troubleshooting script (/opt/sannav/Portal_2.4.0_bld249/bin/troubleshooting-sannav.sh) to resolve any reported issues and restart SANnav.

El contenedor de Docker para el servicio proxy muestra el siguiente error:

/docker-entrypoint.sh: Launching /docker-entrypoint.d/30-tune-worker-processes.sh
/docker-entrypoint.sh: Configuration complete; ready for start up

2025/05/30 11:43:59 [warn] 1#1: the "user" directive makes sense only if the master process runs with super-user privileges, ignored in /etc/nginx/nginx.conf:1
nginx: [warn] the "user" directive makes sense only if the master process runs with super-user privileges, ignored in /etc/nginx/nginx.conf:1

2025/05/30 11:43:59 [emerg] 1#1: SSL_CTX_use_PrivateKey("/etc/nginx/sannav-cert.key") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)
nginx: [emerg] SSL_CTX_use_PrivateKey("/etc/nginx/sannav-cert.key") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)

Se verificó que el nombre común (CN) del certificado de CA y el certificado firmado por el servidor de SANnav sean los mismos:

openssl x509 -in /tmp/olsannav.kba.de.crt -noout -subject
subject=O=KBA, OU=146-SSL-Server, OU=SAN, CN=olsannav.kba.de

[VMware ] root@olsannav.kba.de /opt/sannav # hostname
olsannav.kba.de

También verificó los certificados:

# openssl rsa -noout -modulus -in olsannav.kba.de.key | openssl md5
MD5(stdin)= 3de4b148f281980ec2e9ad827b7ca257

# openssl x509 -noout -modulus -in olsannav.kba.de.crt | openssl md5
MD5(stdin)= 3de4b148f281980ec2e9ad827b7ca257

# openssl verify -CAfile /tmp/ca-chain.crt /tmp/olsannav.kba.de.crt
/tmp/olsannav.kba.de.crt: OK

Los errores sugieren que la clave puede tener un valor incorrecto o haber estado protegida con contraseña en algún momento. En este caso, el certificado tenía el formato incorrecto. 

Convertir el certificado de DER como PEM Formatee y siga las instrucciones que se indican a continuación para iniciar el servicio de proxy.

1. Inicie la consola de Linux en el servidor SANnav .
2. Ir a la ubicación <SANnav_Home>/conf/nginx y realice la copia de seguridad del archivo sannav-cert.pem y sannav-cert.Key y moverlo fuera de la ubicación de inicio de SANnav.
3. Valide el certificado y las claves originales:
   1. Estos dos comandos imprimen sumas de comprobación md5 del certificado y la clave; Las sumas de comprobación se pueden comparar para verificar la coincidencia del certificado y la clave:

openssl x509 -noout -modulus -in server.pem | openssl md5

openssl rsa -noout -modulus -in server.key | openssl md5

2. Verifique la cadena de certificados:

openssl verify -CAfile chain.pem server.pem

3. Validar clave:

openssl rsa -check -noout -in server.key

4. Compruebe el certificado y devuelva información sobre él (autoridad de firma, fecha de vencimiento, etc.):

openssl x509 -in server.pem -noout -text
openssl x509 -in chain.pem -noout -text

4. Copie el certificado y la cadena correctos en la ubicación <SANnav_Home>/conf/nginx
   1. En <~location original certificates received from the CA> hacer:

cat <server_cert.pem> <chained_cert.pem> >> sannav-cert.pem

cat <server_key.key> >> sannav-cert.key

2. Copiar <~location original key>/sannav-cert.key <SANnav_Home>/conf/nginx/sannav-cert.key
3. Copiar <~location original pem>/sannav-cert.pem <SANnav_Home>/conf/nginx/sannav-cert.pem

5. Reinicie el nginx service Siguiendo los pasos que se indican a continuación:
   1. Ejecute los siguientes comandos para obtener el ID del servicio de proxy:

[root@sannav4321 bin]# docker service ls | grep proxy
ypaxcuueqlbb   dcm_2_2_0_proxy

replicated   0/1        10.1xx.4x.8x:5000/proxy-local:sann2.2.0        

2. Reduzca el servicio de proxy mediante el siguiente comando:

[root@sannav4321 bin]# docker service scale dcm_2_2_0_proxy=0
ypaxcuueqlbb scaled to 0
overall progress: 0 out of 0 tasks
verify: Service converged

3. Espere entre 10 y 15 segundos y, a continuación, escale verticalmente el servicio de proxy mediante el siguiente comando:

[root@sannav4321 bin]# docker service scale dcm_2_2_0_proxy=1
ypaxcuueqlbb scaled to 1
overall progress: 1 out of 1 tasks
1/1: running   [==================================================>]
verify: Service converged

4. Confirme si el servicio de proxy está en funcionamiento "1/1" o no mediante el siguiente comando:

[root@sannav4321 bin]# docker service ls | grep proxy
ypaxcuueqlbb   dcm_2_2_0_proxy                                  replicated   1/1        10.155.43.87:5000/proxy-local:sann2.2.0          
[root@sannav4321 bin]#

6. Verifique el estado de los servicios de SANnav, ya sea que nginx proxy service está en funcionamiento o no mediante el uso del script check-sannav-status.sh.
7. Ejecute el script replace-sannav-certificates una vez que el proxy se haya iniciado y vuelva a aplicar la clave, el certificado y la cadena para aplicar el certificado correcto al contenedor de KAFKA. Siga el procedimiento de la replace-sannav-certificates Guión.