Connectrix Brocade serii B: Usługa HTTPS wyłączona z powodu nieprawidłowego certyfikatu
Summary: Usługa HTTPS wyłączona z powodu nieprawidłowego certyfikatu
Symptoms
Aktualizacja z wersji 8.0.2d do 8.1.2f.
Po uaktualnieniu do wersji FOX 8.1.x lub nowszej protokół https jest wyłączony z poniższymi komunikatami. Przełącznik nie jest już dostępny za pośrednictwem protokołu HTTPS. Próby ponownego zaimportowania istniejącego podpisanego certyfikatu HTTPS lub nowego certyfikatu generują następujący komunikat: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Przełącznik nie będzie już dostępny za pośrednictwem protokołu HTTPS.
Możliwy dodatkowy objaw z punktu widzenia zarządzania:
- Narzędzie CMCNE z protokołem https nie może już wykryć przełączników i gdy:
- Zmiana hasła przełącznika na ekranie wykrywania CMCNE spowodowała błąd:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Powodem jest ulepszenie zabezpieczeń FOS w FOS v8.1. Zgodnie z informacjami dotyczącymi wydania Fabric OS 8.1.2f firmy Brocade podczas aktualizacji do wersji FOS 8.1.0b lub nowszej oraz włączenia protokołu HTTPS administratorzy muszą mieć zainstalowane certyfikaty instytucji certyfikującej (CA), pośrednie i główne, aby zapewnić pomyślny przebieg łańcucha weryfikacji certyfikatów. Protokół HTTPS jest wyłączony w FOS w wersji 8.1.0b lub nowszej, jeśli łańcuch weryfikacji certyfikatów zakończy się niepowodzeniem.
Aby sprawdzić, czy urząd certyfikacji jest poprawny i czy weryfikacja łańcucha certyfikacji zakończyła się pomyślnie, wykonaj następujące polecenie na serwerze Linux: #openssl verify -CAfile ca.pem servercert.pem
Istnieje artykuł bazy wiedzy Broadcom #13013, do którego również możemy się odnieść.
Resolution
Zaimportuj certyfikat urzędu certyfikacji z urzędu certyfikacji, który został użyty do podpisania istniejącego certyfikatu, używając następującego polecenia: #seccertmgmt import -ca -server https -certname <cert_name>
Uwaga: Certyfikat CA musi zawierać pełny łańcuch, który został użyty do podpisania certyfikatu HTTPS. Dodatkowe informacje na temat tego wymagania znajdują się w podręczniku administratora FOS 8.2.0 w sekcji "Tworzenie pełnego łańcucha certyfikatów urzędu certyfikacji".
Po pomyślnym zaimportowaniu certyfikatu CA przełącznik automatycznie ponownie włącza protokół HTTPS: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.