Connectrix Brocade серии B. Служба HTTPS отключена из-за недействительного сертификата
Summary: Служба HTTPS отключена из-за недействительного сертификата
Symptoms
Модернизация с 8.0.2d до 8.1.2f
После обновления до FOX 8.1.x или более поздней версии https отключен в следующих сообщениях. Коммутатор больше не доступен по протоколу HTTPS. При попытке повторно импортировать существующий подписанный сертификат HTTPS или новый сертификат приводится к следующему сообщению: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Коммутатор больше не будет доступен по протоколу HTTPS.
Возможный дополнительный симптом с точки зрения лечения:
- CMCNE с https больше не может обнаружить коммутатор(ы), и в следующих случаях:
- При изменении пароля коммутатора на экране обнаружения CMCNE появляется сообщение об ошибке:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Причина заключается в улучшении безопасности FOS в FOS v8.1. Согласно примечаниям к выпуску Brocade's Fabric OS v8.1.2f, при обновлении до FOS 8.1.0b и более поздних версий и включении HTTPS администраторам необходимо установить центр сертификации (CA), промежуточный и корневой сертификаты, чтобы обеспечить успешную цепочку проверки сертификатов. В FOS v8.1.0b или более поздних версиях протокол HTTPS отключен в случае сбоя цепочки проверки сертификатов.
Чтобы проверить правильность CA и успешное валидирование цепочки CA, выполните следующую команду на сервере Linux: #openssl verify -CAfile ca.pem servercert.pem
Мы также можем сослаться на статью базы знаний Broadcom #13013.
Resolution
Импортируйте сертификат источника сертификатов из источника сертификатов, который использовался для подписи существующего сертификата, с помощью следующей команды: #seccertmgmt import -ca -server https -certname <cert_name>
Примечание. Сертификат источника сертификатов должен содержать полную цепочку, которая использовалась для подписи сертификата HTTPS. Дополнительные сведения об этом требовании приведены в руководстве администратора FOS 8.2.0 в разделе «Создание полной цепочки сертификатов CA».
После успешного импорта сертификата источника сертификатов коммутатор автоматически повторно активирует HTTPS: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.