PowerSwitch: OS10: Sertifikatutløp og løsning

Spesifikke versjoner av OS10 (se Versjoner av berørt programvare) inneholder et standardsertifikat som brukes til VLT-nodeetablering og SFS-klyngedannelse. Dette standardsertifikatet utløper juli 27, 2021. Etter utløp oppstår det problemer med trafikktilgjengelighet når en av disse svitsjene har en påfølgende omstart av svitsj, koblingsklaff, operatørutløst konfigurasjonsendring, vMotion og andre nettverkshendelser. Sertifikatutløp har ikke tilsvarende meldinger i syslog, feller eller på brukergrensesnittet.

Versjoner av berørt programvare, etter modell:
 

OS10-versjon	Modell
10.3.2ER3P1	Bare S5148F
10.4.0E. R3SP2 til og med 10.4.0E. R4SP2	Bare MX9116 og MX5108
10.4.1.4 til og med 10.4.3.6P5	Alle OS10-modeller (inkl. MX9116, MX5108 og S5148F)
10.5.0.0 til og med 10.5.0.7P3	Alle OS10-modeller (inkl. MX9116 og MX5108)

Løsning

MERK: Se det vedlagte tekniske arket for en PDF-versjon av denne oppløsningen som du kan gi til teknikeren som skal utføre oppgraderingen.

MERK: Isilon Backend Ethernet-brukere bør ikke følge fremgangsmåtene som er beskrevet i denne artikkelen. For Isilon kan brukere se KB-artikkelen 185548: Utløpsdato for Dell-svitsj på Dell Z9100-ON-svitsjer som brukes for Isilon Backend Ethernet for mer informasjon om problemet. Artikkelen krever kundepålogging.

MERK:  Brukere av ECS Gen3 Appliance bør ikke følge fremgangsmåtene som er beskrevet i denne artikkelen. For ECS kan brukere se KB-artikkel 185691: DTA 185691: ECS: Utløp av sikkerhetssertifikat for Dell OS10-svitsj X.509v3 på ECS-frontend- og backend-svitsjer kan føre til at data blir utilgjengelige for mer informasjon om problemet. Artikkelen krever kundepålogging.

MERK: Brukere av berørte versjoner fra 10.3.2.x til og med 10.4.2.x, sertifikatoppdatering er ikke tilgjengelig. Brukere må oppgradere til 10.4.3.0 eller nyere (10.5.0.x eller nyere for MX) og må følge tabellen nedenfor.   

MERK:  For brukere av PowerEdge MX på 10.4.0E(R3SP2)–10.4.0E(R4SP2): Hvis oppgradering til den nyeste grunnkonfigurasjonen ikke er mulig innen 27. juli 2021, kan du kontakte Dells tekniske kundestøtte for å få hjelp med å oppdatere standardsertifikatet.

MERK: Følgende OS10-versjoner leveres med det nye standardsertifikatet som løser problemet med sertifikatutløp:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

VARSEL: Brukere som velger å oppgradere til den nyeste fastvaren, MÅfølge oppgraderingsbanen som er angitt i delen Klargjøre for en oppgradering i veiledningen for installasjon, oppgradering og nedgradering av Dell EMC SmartFabric OS10 på nettstedet vårt for kundestøtte.

For versjonene 10.4.3.0 til og med 10.5.0.7P3 må brukerne følge løsningen i henhold til denne tabellen for å forhindre nettverksproblemer på grunn av standard sertifikatutløp:       
 

Implementeringskategori	Anbefalt løsning	Alternativt, hvis en oppgradering er mulig.
MX-svitsjer uten VLT uten SFS-modus	Ingen handling kreves.	Ingen handling kreves.
MX-SFS mode	Oppdater standardsertifikatet til et nytt standardsertifikat ved hjelp av skriptene fra Dell på alle noder. For å gjøre det nye standardsertifikatet i kraft, er det et MUST å: – Start SFS på nytt primært – I distribusjon av flere klynger må du starte en av VLT-nodene i hvert VLT-par på nytt.	Oppgrader til >=10.5.1.7 før 27. juli 2021 Følg oppgraderingsbanen som finnes i brukerveiledningen for Dell EMC OpenManage Enterprise-Modular Edition for PowerEdge MX7000-kabinett Referanselinjer forMX7000-løsning – side 15–17 viser de kompatible fastvaregrunnlinjene for komponentene. Matrise for oppdatering av OS10-fastvare – side 22 inneholder informasjon om oppgraderingsbanen for OS10-svitsjer.
MX-full-switch-modus
Svitsjer i VLT-modus uten SFS	Oppdater standardsertifikatet til et nytt standardsertifikat ved hjelp av skriptene fra Dell på alle noder. For å gjøre det nye standardsertifikatet gjeldende er det et MUST å gjøre "shut" og "no shut" på VLT Primary switch's VLTi interface/link.	Oppgrader til versjon >=10.5.1.0, før 27. juli 2021
VxRail – SFS – enkelt rack	Oppdater standardsertifikatet til et nytt standardsertifikat ved hjelp av skriptene fra Dell på alle noder. For å gjøre det nye standardsertifikatet i kraft, er det et MUST: – Start SFS på nytt primært – I distribusjon av flere klynger må du starte en av VLT-nodene i hvert VLT-par på nytt.	Oppgrader til versjon >=10.5.2.2 før 27. juli2021
VxRail-SFS-Multi-Rack
S5148	Oppgrader til 10.4.3.x, og oppdater deretter standardsertifikatet til et nytt standardsertifikat ved hjelp av skriptene fra Dell på alle noder. Oppdater standardsertifikatet til et nytt standardsertifikat ved hjelp av skriptene fra Dell på alle noder. For å gjøre det nye standardsertifikatet gjeldende er det et MUST å gjøre "shut" og "no shut" på VLT Primary switch's VLTi interface/link.	Samme som anbefalt oppløsning.

MERK: Det kreves et vedlikeholdsvindu for VLTi-koblingsklaff eller omstart av svitsj, da disse potensielt kan forstyrre nettverkstrafikkflyten. Når du beregner vedlikeholdsvinduet:       

• Det kan ta 3 til 5 minutter per enhet for skript. Når skriptet kjører, påvirkes ikke trafikken.
• For oppgradering av OS10 må du beregne 30 minutter per node når du går fra én utgivelse til den neste.

Skriptpakken "Dell Networking Default X.509 Certificate Update" er tilgjengelig i Dell Digital Locker med OS10-rettigheten din. Filnavnet for skriptpakken er "cert_upgrade_script", og det inkluderer en README-fil som har detaljerte instruksjoner om hvordan du kjører skriptene. Klikk på en bryter i DDL-kontoen, og gå deretter til tilgjengelige nedlastinger for å se skriptpakken.

Hvis du vil ha mer informasjon om hvordan du logger på og laster ned skriptet, kan du se Dell Networking Slik laster du ned OS10-Cert_Upgrade_Script fra Dell Digital Locker
Du finner mer trinnvis informasjon om hvordan du fullfører sertifikatoppdateringen i disse artiklene:

Velg ettDell Networking OS10 Slik kjører du sertifikatoppdatering fra Linux
Dell Networking OS10 Slik kjører du sertifikatoppdatering direkte fra OS10-svitsjen





Dell Networking OS10 Slik kjører du sertifikatoppdatering fra Windows med Python

Her er en video som viser prosessen for å oppdatere sertifikatet ved hjelp av et pythonskript.

MERK: Avhengig av hvor du har skriptfilen lagret, kan det hende du har en annen filbane enn den som brukes i denne videoen.





FORSIKTIGHET: Alle svitsjer i en klynge eller VLT må ha samme sertifikat som er installert, for klynge- eller VLT-kommunikasjon. Det er obligatorisk å kjøre skriptet på alle nodene i klyngen og VLT i samme vedlikeholdsvindu.

Når du har oppdatert standardsertifikatet på svitsjene, må du være oppmerksom på følgende:      

• Hvis du nedgraderer en annen programvareversjon som har det gamle standardsertifikatet, kan du oppleve problemet på nytt.
• Hvis du starter opp på en annen partisjon som fortsatt har et gammelt standardsertifikat, kan du oppleve problemet igjen.
• Hvis du erstatter en svitsj med en versjon som bruker det gamle standardsertifikatet, kan du oppleve problemet på nytt.

Hvis noen av disse scenariene skulle oppstå, bør du:     

•   Bruk skriptet til å oppdatere standardsertifikatet på nytt.

VARSEL: Sertifikatet brukes ikke når alle systemer i en klynge bruker 10.5.1.0 eller nyere. Hvis klyngen kjører med blandede versjoner av OS10 med noen noder som kjører 10.5.0.x og eldre. Deretter må systemer som kjører 10.5.1.x eller nyere, kjøre skriptet for å installere det nye sertifikatet for at nodene skal danne en klynge.

Noen nye svitsjer som leveres med 10.4.3 eller 10.5.0, har allerede et nytt standardsertifikat installert. I tillegg har noen serviceerstatningssvitsjer et nytt standardsertifikat installert. Disse enhetene er identifisert av et klistremerke på enheten som leser "Cert oppdatert."

Slik bruker du en slik svitsj i VLT- eller SFS-klynge  

• Alle svitsjer i klyngen må ha det nye standardsertifikatet installert.