PowerSwitch: OS10: Certifikatets utgångsdatum och lösning

Specifika versioner av OS10 (se Berörda programvaruversioner) innehåller ett standardcertifikat som används för VLT-peer-etablering och SFS-klusterbildning. Det här standardcertifikatet upphör att gälla den 27 juli 2021. Efter utgången uppstår problem med trafiknåbarheten när en av dessa switchar har en efterföljande omstart av switchen, länkklaff, operatörsutlöst konfigurationsändring, vMotion och andra nätverkshändelser. Certifikatets förfallodatum har inga motsvarande meddelanden i syslog, traps eller i användargränssnittet.

Berörda programvaruversioner, efter modell:
 

OS10-version	Modell
10.3.2ER3P1	Endast S5148F
10.4.0E. R3SP2 till 10.4.0E. R4SP2 R4SP2	Endast MX9116 och MX5108
10.4.1.4 till 10.4.3.6P5	Alla OS10-modeller (inkl. MX9116, MX5108 och S5148F)
10.5.0.0 till och med 10.5.0.7P3	Alla OS10-modeller (inkl. MX9116 och MX5108)

Lösning

Obs! I bifogade tekniska blad finns en PDF-version av den här lösningen som du kan ge till teknikern som ska utföra uppgraderingen.

OBSERVERA: Isilon Backend Ethernet-användare bör inte följa procedurerna som beskrivs i den här artikeln. Information om Isilon finns i KB-artikeln 185548: Utgångsdatum för Dell-switchcertifikat på Dell Z9100-ON-switchar som används för Isilon Backend Ethernet för mer information om problemet. Artikeln kräver en kundinloggning.

OBSERVERA:  ECS Gen3 Appliance-användare bör inte följa procedurerna som beskrivs i den här artikeln. Information om ECS finns i KB-artikeln 185691: DTA 185691: ECS: Upphörande av säkerhetscertifikatet för Dell OS10-switchen X.509v3 på ECS frontend- och backend-switchar kan leda till dataotillgänglighet för information om problemet. Artikeln kräver en kundinloggning.

OBSERVERA: Användare av berörda versioner från 10.3.2.x till 10.4.2.x, certifikatuppdatering är inte tillgänglig. Användare måste uppgradera till 10.4.3.0 eller senare (10.5.0.x eller senare för MX) och måste följa tabellen nedan.   

Obs!  För PowerEdge MX-användare med 10.4.0E(R3SP2)–10.4.0E(R4SP2) kan du kontakta Dells tekniska support för att få hjälp med att uppdatera standardcertifikatet om det inte går att uppgradera till den senaste baslinjen senast den 27 juli 2021.

OBSERVERA: Följande OS10-versioner levereras med det nya standardcertifikatet som åtgärdar problemet med att certifikatet upphör att gälla:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

VARNING: Användare som väljer att uppgradera till den senaste fasta programvaran MÅSTEfölja den uppgraderingsväg som anges i avsnittet Förbereda för en uppgradering i dokumentet Dell EMC SmartFabric OS10 – Installations-, uppgraderings- och nedgraderingsmanual på vår supportwebbplats.

För versionerna 10.4.3.0 till 10.5.0.7P3 måste användarna följa lösningen enligt den här tabellen för att förhindra nätverksproblem på grund av att standardcertifikatet upphör att gälla:       
 

Distributionskategori	Rekommenderad upplösning	Alternativt, om en uppgradering är möjlig.
Icke-MX-switchar i icke-VLT-icke-SFS-läge	Ingen åtgärd krävs.	Ingen åtgärd krävs.
MX-SFS mode	Uppdatera standardcertifikatet till ett nytt standardcertifikat med hjälp av skript som tillhandahålls av Dell på alla noder. För att det nya standardcertifikatet ska träda i kraft är det ett MÅSTE att: - Starta om SFS primär – Starta även om en av VLT-peers i varje VLT-par i distributionen med flera kluster.	Uppgradera till >=10.5.1.7 före 27 juli 2021 Följ uppgraderingssökvägen som finns i Dell EMC OpenManage Enterprise-Modular Edition för PowerEdge MX7000-chassits Användar handbok MX7000 Solution Baselines – Page 15-17 Visar baslinjer för kompatibel fast programvara för komponenter. Uppdateringsmatris för fast programvara för OS10 – sidan 22 beskriver uppgraderingsvägen för OS10-switchar.
MX-Fullväxlingsläge
Switchar i VLT-läge som inte är SFS	Uppdatera standardcertifikatet till ett nytt standardcertifikat med hjälp av skript som tillhandahålls av Dell på alla noder. För att det nya standardcertifikatet ska träda i kraft är det ett MÅSTE att göra "shut" och "no shut" på VLT:s primära switchs VLTi-gränssnitt/länk.	Uppgradera till version >=10.5.1.0, före den 27 juli 2021
VxRail-SFS – enkelt rack	Uppdatera standardcertifikatet till ett nytt standardcertifikat med hjälp av skript som tillhandahålls av Dell på alla noder. För att det nya standardcertifikatet ska träda i kraft är det ett MÅSTE: - Starta om SFS primär – Starta även om en av VLT-peers i varje VLT-par i distributionen med flera kluster.	Uppgradera till version >=10.5.2.2, före den 27 juli2021
VxRail-SFS-Multi-Rack
S5148	Uppgradera till 10.4.3.x och uppdatera sedan standardcertifikatet till ett nytt standardcertifikat med hjälp av de skript som tillhandahålls av Dell på alla noder. Uppdatera standardcertifikatet till ett nytt standardcertifikat med hjälp av skript som tillhandahålls av Dell på alla noder. För att det nya standardcertifikatet ska träda i kraft är det ett MÅSTE att göra "shut" och "no shut" på VLT:s primära switchs VLTi-gränssnitt/länk.	Samma som rekommenderad upplösning.

Obs! En underhållsperiod krävs för omstart av VLTi-länkklaffen eller switchen, eftersom dessa potentiellt kan störa nätverkstrafikflödet. När du beräknar underhållsperioden:       

• För skript väntar du 3 till 5 minuter per enhet. Trafiken påverkas inte när skriptet körs.
• För uppgradering av OS10 bör du räkna med 30 minuter per nod när du går från en version till nästa.

Skriptpaketet Dell Networking Default X.509 Certificate Update finns tillgängligt på Dell Digital Locker med din OS10-behörighet. Skriptpaketets filnamn är "cert_upgrade_script" och innehåller en README-fil med detaljerade instruktioner om hur skripten ska köras. Klicka på en växel i ditt DDL-konto och gå sedan till tillgängliga nedladdningar för att se skriptpaketet.

Mer information om hur du loggar in och laddar ner skriptet finns i Dell Networking: Så här hämtar du OS10-Cert_Upgrade_Script från Dell Digital Locker

Ytterligare steg-för-steg-information om hur du slutför certifikatuppdateringen finns i följande artiklar:

Välj ett
alternativ Dell Networking OS10 Köra certifikatuppdatering från Linux

Dell Networking OS10 Köra certifikatuppdatering direkt från OS10-switchen


Dell Networking OS10 Så här kör du certifikatuppdatering från Windows med Python

Här är en video som visar processen för att uppdatera certifikatet med hjälp av ett Python-skript.

NOTERA: Beroende på var skriptfilen sparades kan det finnas en annan sökväg till filen än den som används i den här videon.





FÖRSIKTIGHET: Alla switchar i ett kluster eller VLT måste ha samma certifikat som är installerat för kluster- eller VLT-kommunikation. Det är obligatoriskt att köra skriptet på alla noder i klustret och VLT under samma underhållsperiod.

När du har uppdaterat standardcertifikatet på switcharna ska du tänka på följande:      

• Om du nedgraderar en annan programvaruversion som har det gamla standardcertifikatet kan du uppleva problemet igen.
• Om du startar på en annan partition som fortfarande har ett gammalt standardcertifikat kan du uppleva problemet igen.
• Om du ersätter en switch med en version med det gamla standardcertifikatet kan problemet uppstå igen.

Om något av följande inträffar bör du:     

•   Använd skriptet för att uppdatera standardcertifikatet igen.

VARNING! Certifikatet används inte när alla system i ett kluster använder 10.5.1.0 eller senare. Om klustret körs med blandade versioner av OS10 med vissa noder som kör 10.5.0.x och lägre. Sedan måste system som kör 10.5.1.x eller senare köra skriptet för att installera det nya certifikatet för att noderna ska kunna bilda ett kluster.

Vissa nya switchar som levereras med 10.4.3 eller 10.5.0 har redan ett nytt standardcertifikat installerat. Dessutom har vissa servicebytesswitchar ett nytt standardcertifikat installerat. Dessa enheter identifieras med en etikett på enheten där det står "Cert Updated".

Så här använder du en sådan switch i VLT- eller SFS-kluster  

• Alla switchar i klustret måste ha det nya standardcertifikatet installerat.