Connectrix Brocade série B : Service HTTPS désactivé en raison d’un certificat non valide
Résumé: Service HTTPS désactivé en raison d’un certificat non valide
Symptômes
Mise à niveau de 8.0.2d vers 8.1.2f.
Après la mise à niveau vers FOX 8.1.x ou une version ultérieure, https est désactivé avec les messages ci-dessous. Le commutateur n’est plus accessible via HTTPS. Les tentatives de réimportation du certificat HTTPS signé existant ou d’un nouveau certificat génèrent le message suivant : [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Le commutateur n’est plus accessible via HTTPS.
Un symptôme supplémentaire possible du point de vue de la gestion :
- CMCNE avec https n’est plus en mesure de découvrir le(s) commutateur(s) et quand :
- Lors de la modification du mot de passe du commutateur dans l’écran de découverte de CMCNE, une erreur a été signalée :
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
La raison en est l’amélioration de la sécurité FOS dans FOS v8.1. Selon les notes de mise à jour de Fabric OS v8.1.2f de Brocade, lors de la mise à niveau vers FOS 8.1.0b et versions ultérieures, et lorsque HTTPS est activé, les administrateurs doivent avoir installé l’autorité de certification (AC), les certificats intermédiaires et racine pour garantir la réussite de la chaîne de validation des certificats. HTTPS est désactivé dans FOS v8.1.0b ou version ultérieure en cas d’échec de la chaîne de validation du certificat.
Pour vérifier si l’autorité de certification est correcte et si la validation de la chaîne d’autorité de certification a réussi, exécutez la commande suivante sur un serveur Linux : #openssl verify -CAfile ca.pem servercert.pem
L’article #13013 de la base de connaissances Broadcom peut également être consulté.
Résolution
Importez le certificat d’autorité de certification à partir de l’autorité de certification qui a été utilisée pour signer le certificat existant, à l’aide de la commande suivante : #seccertmgmt import -ca -server https -certname <cert_name>
Remarque : Le certificat CA doit contenir la chaîne complète utilisée pour signer le certificat HTTPS. Des informations supplémentaires sur cette exigence sont indiquées dans le Guide de l’administrateur FOS 8.2.0 sous « Création d’une chaîne complète de certificats d’autorité de certification ».
Une fois le certificat CA importé, le commutateur réactive automatiquement HTTPS : 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.