Connectrix Brocade řady B: Služba HTTPS je zakázána z důvodu neplatného certifikátu.
Summary: Služba HTTPS je zakázána z důvodu neplatného certifikátu.
Symptoms
Upgrade z verze 8.0.2d na verzi 8.1.2f
Po upgradu na verzi FOX 8.1.x nebo novější je protokol https zakázán s níže uvedenými zprávami. Přepínač již není přístupný prostřednictvím protokolu HTTPS. Pokusy o opětovný import existujícího podepsaného certifikátu HTTPS nebo nového certifikátu vygenerují následující zprávu: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
Přepínač již není přístupný prostřednictvím protokolu HTTPS.
Možný další příznak z hlediska managementu:
- CMCNE s protokolem https již nemůže zjistit přepínače, když:
- Při změně hesla přepínače na obrazovce zjišťování CMCNE došlo k chybě:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
Důvodem je vylepšení zabezpečení FOS v FOS v8.1. Podle poznámek k verzi Brocade Fabric OS v8.1.2f musí mít správci při upgradu na systém FOS 8.1.0b a novější a s povoleným protokolem HTTPS nainstalovanou certifikační autoritu (CA), zprostředkující a kořenové certifikáty, aby bylo zajištěno, že řetězec ověření certifikátu proběhne úspěšně. Pokud dojde k selhání řetězu ověření certifikátu, protokol HTTPS je v systému FOS v8.1.0b nebo novějším zakázán.
Chcete-li ověřit, zda je certifikační autorita správná a ověření řetězce certifikační autority proběhlo úspěšně, spusťte na serveru se systémem Linux následující příkaz: #openssl verify -CAfile ca.pem servercert.pem
K dispozici je článek Broadcom KB #13013, na který můžeme také odkazovat.
Resolution
Pomocí následujícího příkazu importujte certifikát certifikační autority z certifikační autority, která byla použita k podepsání existujícího certifikátu: #seccertmgmt import -ca -server https -certname <cert_name>
Poznámka: Certifikát certifikační autority musí obsahovat úplný řetězec, který byl použit k podepsání certifikátu HTTPS. Další informace o tomto požadavku jsou uvedeny v příručce správce FOS 8.2.0 v části "Vytvoření kompletního řetězce certifikátů
CA".Po úspěšném importu certifikátu certifikační autority přepínač automaticky znovu povolí protokol HTTPS: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.