Virtakytkin: OS10: Varmenteen vanheneminen ja ratkaisu

OS10:n tietyt versiot (katso Ohjelmistoversiot, joita haavoittuvuus koskee) sisältävät oletusvarmenteen, jota käytetään VLT-vertaisperustamisessa ja SFS-klusterin muodostamisessa. Tämä oletusvarmenne vanhenee 27. heinäkuuta 2021. Vanhentumisen jälkeen liikenteen käytettävyysongelmia ilmenee, kun jokin näistä kytkimistä käynnistyy uudelleen, linkkiläppä tai tapahtuu operaattorin käynnistämä kokoonpanomuutos, vMotion tai muita verkkotapahtumia. Varmenteen vanhenemisella ei ole vastaavia sanomia syslogissa, keskeytyksissä tai käyttöliittymässä.

Ohjelmistoversiot, joita haavoittuvuus koskee, malleittain:
 

OS10-versio	Malli
10.3.2ER3P1	Vain S5148F
10.4.0E. R3SP2–10.4.0E. R4SP2	Vain MX9116 ja MX5108
10.4.1.4–10.4.3.6P5	Kaikki OS10-mallit (mukaan lukien MX9116, MX5108 ja S5148F)
10.5.0.0–10.5.0.7P3	Kaikki OS10-mallit (mukaan lukien MX9116 ja MX5108)

Ratkaisu

HUOMAUTUS: Liitteenä olevassa teknisessä tietolomakkeessa on tämän päätöslauselman PDF-versio, jonka voit toimittaa päivityksen suorittavalle insinöörille.

HUOMAUTUS: Isilon-taustapalvelimen Ethernet-käyttäjien ei tule noudattaa tässä artikkelissa kuvattuja ohjeita. Katso Isilonin ohjeet tietämyskannan artikkelista 185548: Dell-kytkinvarmenteen vanheneminen Dell Z9100-ON -kytkimissä, joita käytetään Isilon-taustatason Ethernet-tunnuksissa , saadaksesi lisätietoja ongelmasta. Artikkeli edellyttää asiakkaan kirjautumista.

HUOMAUTUS:  ECS Gen3 -laitteen käyttäjien ei tule noudattaa tässä artikkelissa kuvattuja ohjeita. Lisätietoja ECS:stä on tietämyskannan artikkelissa 185691: DTA 185691: ECS: Dell OS10 switch X.509v3 -suojausvarmenteen vanheneminen ECS-edusta- ja taustakytkimissä voi johtaa siihen, että tietoja ongelmasta ei ole saatavilla. Artikkeli edellyttää asiakkaan kirjautumista.

HUOMAUTUS: Ajuriversioiden 10.3.2.x–10.4.2.x käyttäjät, joita haavoittuvuus koskee, varmennepäivitys ei ole saatavilla. Käyttäjien on päivitettävä versioon 10.4.3.0 tai uudempaan (MX:ssä versioon 10.5.0.x tai uudempaan) ja noudatettava alla olevaa taulukkoa.   

HUOMAUTUS:  Jos PowerEdge MX -käyttäjät, joilla on 10.4.0E(R3SP2)- 10.4.0E(R4SP2) ja jotka käyttävät uusinta vertailutasoa 27.7.2021 mennessä, ota yhteyttä Dellin tekniseen tukeen, jos tarvitset apua oletusvarmenteen päivittämisessä.

HUOMAUTUS: Seuraavissa OS10-julkaisuversioissa on uusi oletusvarmenne, joka korjaa tämän varmenteen vanhenemisongelman:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

HÄLYTYS: Jos käyttäjät haluavat päivittää uusimpaan laiteohjelmistoon, sinun ONnoudatettava päivityspolkua, joka on mainittu tukisivustomme Dell EMC SmartFabric OS10:n asennus-, päivitys- ja varhennusoppaanValmistautuminen päivitykseen -osassa.

Versioissa 10.4.3.0–10.5.0.7P3 käyttäjien on noudatettava tämän taulukon mukaista ratkaisua estääkseen varmenteen oletusvanhenemisesta johtuvat verkko-ongelmat:       
 

Käyttöönottoluokka	Suositeltu tarkkuus	Vaihtoehtoisesti, jos päivitys on mahdollinen.
Muut kuin MX-kytkimet muussa kuin VLT-tilassa, ei SFS-tilassa	Toimia ei tarvita.	Toimia ei tarvita.
MX-SFS moodi	Päivitä oletusvarmenne uuteen oletusvarmenteeseen käyttämällä Dellin toimittamia komentosarjoja kaikissa solmuissa. Jotta uusi oletusvarmenne tulee voimaan, se on PAKOLLINEN: - Käynnistä SFS primary uudelleen - Käynnistä myös usean klusterin käyttöönotossa uudelleen yksi VLT-vertaisista jokaisessa VLT-parissa.	Päivitä versioon >=10.5.1.7 ennen 27.7.2021 Seuraa PowerEdge MX7000 -kotelolle tarkoitetun Dell EMC OpenManage Enterprise-Modular Editionin päivityspolkua MX7000-ratkaisun vertailutiedot – sivuilla 15–17 näytetään yhteensopivien osien laiteohjelmiston vertailutasot . OS10-laiteohjelmiston päivitysmatriisi - sivulla 22 kerrotaan OS10-kytkinten päivityspolusta.
MX-täysi kytkin -tila
Kytkimet VLT ei-SFS -tilassa	Päivitä oletusvarmenne uuteen oletusvarmenteeseen käyttämällä Dellin toimittamia komentosarjoja kaikissa solmuissa. Jotta uusi oletusvarmenne astuisi voimaan, VLT Primary -kytkimen VLTi-liitännässä/linkissä on tehtävä "shut" ja "no shut".	Päivitä versioon >=10.5.1.0, ennen 27.7.2021
VxRail-SFS – Yksi kehikko	Päivitä oletusvarmenne uuteen oletusvarmenteeseen käyttämällä Dellin toimittamia komentosarjoja kaikissa solmuissa. Jotta uusi oletusvarmenne tulee voimaan, se on PAKOLLINEN: - Käynnistä SFS primary uudelleen - Käynnistä myös usean klusterin käyttöönotossa uudelleen yksi VLT-vertaisista jokaisessa VLT-parissa.	Päivitä versioon >=10.5.2.2, ennen 27.7.2021
VxRail-SFS-Monikehikko
S5148	Päivitä versioon 10.4.3.x ja päivitä sitten oletusvarmenne uudeksi oletusvarmenteeksi käyttämällä Dellin toimittamia komentosarjoja kaikissa solmuissa. Päivitä oletusvarmenne uuteen oletusvarmenteeseen käyttämällä Dellin toimittamia komentosarjoja kaikissa solmuissa. Jotta uusi oletusvarmenne astuisi voimaan, VLT Primary -kytkimen VLTi-liitännässä/linkissä on tehtävä "shut" ja "no shut".	Sama kuin suositeltu tarkkuus.

HUOMAUTUS: VLTi-linkin läpän tai kytkimen uudelleenkäynnistys edellyttää huoltoikkunaa, koska ne voivat häiritä verkkoliikennettä. Kun lasket huoltoikkunaa:       

• Odota komentosarjaa varten 3–5 minuuttia laitetta kohti. Komentosarjan ollessa käynnissä se ei vaikuta liikenteeseen.
• OS10:n päivittämiseen kuluu arviolta 30 minuuttia solmua kohden, kun siirrytään julkaisusta toiseen.

Dell Networking Default X.509 Certificate Update -komentosarjapaketti on saatavilla Dell Digital Lockeriin OS10-oikeutuksella. Script-paketin tiedostonimi on cert_upgrade_script, ja se sisältää README-tiedoston, joka sisältää yksityiskohtaiset ohjeet komentosarjojen suorittamiseen. Napsauta kytkintä DDL-tililläsi ja siirry sitten kohtaan Saatavilla olevat lataukset nähdäksesi komentosarjapaketin.

Lisätietoja kirjautumisesta sisään ja komentosarjan lataamisesta on kohdassa Dell Networking OS10-Cert_Upgrade_Script lataaminen Dell Digital Lockerista
Näissä artikkeleissa on yksityiskohtaiset ohjeet varmenteen päivityksen suorittamiseen:

Valitse yksi

Dell Networking OS10 Varmenteen päivityksen suorittaminen Linuxista

Dell Networking OS10 Varmenteen päivityksen suorittaminen suoraan OS10-kytkimestä


Dell Networking OS10: Varmenteen päivityksen suorittaminen Windowsista Pythonilla

Tässä videossa näytetään, miten varmenne päivitetään python-komentosarjan avulla.

HUOMAUTUS: Riippuen siitä, mihin komentosarjatiedosto on tallennettu, tiedostopolku voi poiketa tässä videossa käytetystä.





VAROITUS: Kaikilla klusterin tai VLT:n kytkimillä täytyy olla sama varmenne, joka on asennettu klusteri- tai VLT-tiedonsiirtoa varten. Skripti on suoritettava kaikissa klusterin ja VLT:n solmuissa saman huoltoikkunan aikana.

Kun olet päivittänyt kytkinten oletusvarmenteen, huomioi seuraavat asiat:      

• Jos varhennat toisen ohjelmistoversion, jossa on vanha oletusvarmenne, ongelma saattaa ilmetä uudelleen.
• Jos käynnistät toiselta osiolta, jossa on vielä vanha oletusvarmenne, ongelma saattaa ilmetä uudelleen.
• Jos vaihdat kytkimen vanhaa oletusvarmennetta käyttävään versioon, ongelma saattaa ilmetä uudelleen.

Jos jokin näistä tilanteista ilmenee, toimi seuraavasti:     

•   Päivitä oletusvarmenne uudelleen komentosarjan avulla.

HÄLYTYS: Varmennetta ei käytetä, kun kaikki klusterin järjestelmät käyttävät versiota 10.5.1.0 tai uudempaa. Jos klusterissa on käytössä OS10:n sekaversio ja joidenkin solmujen versio 10.5.0.x tai vanhempi. Tämän jälkeen järjestelmien, joissa on versio 10.5.1.x tai uudempi, on suoritettava komentosarja uuden varmenteen asentamiseksi, jotta solmut voivat muodostaa klusterin.

Joissakin uusissa kytkimissä, joiden versio on 10.4.3 tai 10.5.0, on jo asennettu uusi oletusvarmenne. Lisäksi joihinkin korvaaviin kytkimiin on asennettu uusi oletusvarmenne. Nämä yksiköt tunnistaa yksikössä olevasta tarrasta, jossa lukee "Cert Update".

Tällaisen kytkimen käyttäminen VLT- tai SFS-klusterissa  

• Uusi oletusvarmenne on asennettava kaikkiin klusterin kytkimiin.