Connectrix Brocade série B: Serviço HTTPS desativado devido a um certificado inválido
Summary: Serviço HTTPS desativado devido a um certificado inválido
Symptoms
Faça upgrade da versão 8.0.2d para 8.1.2f.
Após o upgrade para o FOX 8.1.x ou posterior, o https é desativado com as mensagens abaixo. O switch não pode mais ser acessado via HTTPS. As tentativas de importar novamente o certificado HTTPS assinado existente ou um novo certificado geram a seguinte mensagem: [SEC-3075], 12286/1374, CHASSIS, INFO, <Switchname>, Event: Web Handler, HTTPS SERVICE DISABLED, Info: Invalid certificate, webdhttp.c, line: 640, comp:webd, ltime:2019/06/11-18:40:13:725262
O switch não pode mais ser acessado via HTTPS.
Um possível sintoma adicional de uma perspectiva de gerenciamento:
- O CMCNE com https não consegue mais detectar os switches e quando:
- Ao alterar a senha do switch na tela de detecção do CMCNE, ele relatou um erro:
Username/Password update failed. Reason: connection was refused by switch.
Rediscovering the switches:
Connection timed out.
Cause
O motivo é o aprimoramento de segurança do FOS no FOS v8.1. De acordo com as notas da versão do Fabric OS v8.1.2f da Brocade, ao fazer upgrade para o FOS 8.1.0b e posterior, e ter o HTTPS habilitado, os administradores devem ter a autoridade de certificação (CA), os certificados intermediários e raiz instalados para garantir que a cadeia de validação de certificados seja bem-sucedida. O HTTPS é desativado no FOS v8.1.0b ou posterior se a cadeia de validação de certificado falhar.
Para verificar se a CA está correta e se a validação da cadeia de CA foi bem-sucedida, execute o seguinte comando em um servidor Linux: #openssl verify -CAfile ca.pem servercert.pem
Há o artigo #13013 da KB da Broadcom que também podemos referenciar.
Resolution
Importe o certificado da CA da CA que foi usado para assinar o certificado existente usando o seguinte comando: #seccertmgmt import -ca -server https -certname <cert_name>
Nota: O certificado da CA deve conter a cadeia completa que foi usada para assinar o certificado HTTPS. Informações adicionais sobre esse requisito estão disponíveis no Guia do administrador do FOS 8.2.0, em "Criando uma cadeia completa de certificados CA".
Depois que o certificado da CA for importado com sucesso, o switch reativará automaticamente o HTTPS: 2018/07/10-05:39:24, [WEBD-1004], 2232, FID 128, INFO, sw0, HTTP server and weblinker process will be restarted due to configuration change.