قائمة إختيار الترقية ل Expressway 15.5.20

خيارات التنزيل

  • PDF     (354.9 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (85.2 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (79.5 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٩ أكتوبر ٢٠٢٦
معرّف المستند:226432

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يوضح هذا المستند كيفية إعداد Expressway لترقية تقوية الأمان X15.5.20. وهو يسرد كل متطلب وكيفية تصحيحه.

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

قبل الترقية

caution-icon

تحذير: لا تبدأ ترقية نظام المجموعة حتى يجتاز كل نظير عمليات التحقق من الاستعداد. قم بتعيين التحقق من TLS لفرض نظام المجموعة وتأكيده بشكل صحيح. أستخدم تنسيق هوية نظير واحد، وليس مزيجا من عناوين IP وشبكات FQDN. يجب أن تحتوي كل شهادة خادم على FQDN للعقدة في شبكة التخزين (SAN)، أو في شبكة التخزين (CN) فقط عندما تكون شبكة التخزين (SAN) فارغة. يمكن أن تحدث شبكة تخزين (SAN) فارغة إذا تم إستخدام OpenSSL لإنشاء CSR. في حالة فشل التحقق، تتوقف الترقية دون تغيير تكوين نظام المجموعة الموجود.

فحص مستقل مجموعة إذا كان غير صحيح
ترقية مسار التطابقات الملحق 3 إستوجبتا إستوجبتا قبل X8. 11. 4، توقف عند X8. 11. 4 أولا. تحويل ترخيص X12 PAK إلى ترخيص Smart قبل X15.x.
النسخ الاحتياطي الحالي وخطة إعادة محاولة تم إختبارها إستوجبتا مطلوب على كل عقدة خذ النسخة الاحتياطية قبل النافذة. تعمل إعادة ضبط المصنع لاحقا على مسح التكوين.
نظام المجموعة صحيح، لا توجد تنبيهات غير مفسرة، النسخ المتزامن غير قابل للتطبيق إستوجبتا قم بإصلاح نظام المجموعة قبل الترقية. لا تزال الترقية المتدفقة تستخدم سلوك تقسيم نظام المجموعة العادي.
يتم فرض التحقق من TLS ويتوفر نظام المجموعة بصحة جيدة غير قابل للتطبيق مطلوب قبل الترقية تغيير السماح للفرض، وإصلاح الشهادة، وتأكيد النسخ المتماثل. لا تكتشف هذا أثناء النافذة.
يستخدم كل نظير نفس تنسيق الهوية، وقائمة النظير ليست فارغة تمريرات التحقق من هوية النظير مطلوب. يتم حظر IP المختلط و FQDN قبل إعادة التمهيد قم بتوحيد المعايير على جميع شبكات FQDN أو جميع عناوين IP، وترك التغيير يتكرر، وتأكد من أن نظام المجموعة سليم. لا تقم بتغيير التنسيق أثناء تشغيل الترقية.
تحتوي شهادة الخادم على FQDN للنظام في شبكة التخزين (SAN)، أو في شبكة التخزين (CN) فقط عندما تكون شبكة التخزين (SAN) فارغة مطلوب إذا تحققت الترقية من الشهادة مطلوب. تتوقف الترقية وتترك تكوين نظام المجموعة دون تغيير أعد إصدار الشهادة. في حالة وجود شبكة تخزين (SAN)، لا تعتمد على CN. رفض الأسماء التي تحتوي على NUL مدمج.
الشهادة محدثة، موثوق بها من قبل الأقران، توقيع RSA 2048+ أو P-256+، SHA-2 مستحسن إستوجبتا توقيعات SHA-1 غير مدعومة بالفعل من X15.2. قم بإعادة إصدار الشهادة. تكون الشهادة الموقعة ذاتيا مقبولة فقط عندما يتم تكوين كل نظير بشكل صريح للثقة بها.
يسمح TCP 4371 فقط من الأقران المعروفين مستحسن إستوجبتا تقييد جدار الحماية. وهذا دفاع متعمق عن ClusterDB؛ وهو ليس بديلا للترقية.
تمت مراجعة عملاء واجهة برمجة تطبيقات Admin مطلوب في حالة إستخدام واجهات برمجة التطبيقات مطلوب في حالة إستخدام واجهات برمجة التطبيقات توقع التحقق من صحة اسم وكلمة مرور أكثر إحكاما، تحققات CSRF على كتابات FormPutXML، وبدون واجهة برمجة تطبيقات (API) لمفتاح الخيار.
تغطي نافذة الصيانة عملية ترقية سريعة بالإضافة إلى إنذار نظام مجموعة قصير محتمل نافذة عادية إستوجبتا يمكن لإعادة تشفير ملف تعريف الارتباط رفع تنبيه إتصالات نظام المجموعة. ومن المتوقع أن تكون واضحة في حد ذاتها.

كيفية قراءة الشهادة

تصدير شهادة الخادم ومعاينتها. 

  • FQDN في شبكة منطقة التخزين (SAN). تتطلب ملاحظات الإصدار FQDN للنظام في شبكة منطقة تخزين (SAN). يتم التحقق من CN فقط عندما يكون ملحق شبكة منطقة التخزين (SAN) فارغا.
  • لا يوجد CN إحتياطي. إذا كانت شبكة منطقة تخزين (SAN) موجودة ولا تتطابق، يفشل التحقق حتى عندما تكون CN صحيحة. ضع كل اسم DNS أو عنوان IP مطلوب في نوع شبكة منطقة التخزين (SAN) الصحيح.
  • حروف NUL. يتم رفض اسم الشهادة الذي يحتوي على NUL مضمن.
  • التواريخ. يجب أن يكون NotBefore في الماضي و NotAfter في المستقبل.
  • المفتاح. وحدة بت RSA 2048 على الأقل، أو مفتاح EC في الطراز P-256 أو أقوى.
  • التوقيع. عائلة SHA-2. من X15.2، لا يتم دعم sha1WithRSAEncryption وecdsa-with-SHA1.
  • المصدر. إذا كان الموضوع والمصدر متشابهين، فإنه موقع ذاتيا. يجب على النظراء الثقة بها بالفعل.

ما الذي يجب فعله قبل إطار الصيانة

  • قبل النافذة، قم بتعيين التحقق من TLS لنظام المجموعة إلى "فرض"، ثم أعد تشغيل نظام المجموعة (بدءا من Publisher أولا) وتأكد من صحة نظام المجموعة. الوضع الميسر غير مدعوم. يمكن أن تبقى قيمة السماح القديمة مرئية، لكنها لا تتجاوز الثقة في شهادة ClusterDB أو التحقق من هوية النظير.
  • يجب أن تكون جميع هويات الأقران إما FQDN أو أن تكون جميعها عناوين IP. لا تقم بتغيير هذا التنسيق أثناء وجود ترقية متدولة قيد التقدم.
  • قد تحتاج نقطة نهاية H.323 مصادق عليها والتي تحتوي على أكثر من اسم مستعار واحد إلى تعيين اسم مستعار لبيانات الاعتماد لكل اسم مستعار، أو تم إيقاف تشغيل ربط اسم مستعار لبيانات الاعتماد على المنطقة الفرعية. يؤدي إيقاف تشغيل الربط إلى إضعاف وضع الأمان.
  • يبقى انتهاء صلاحية كلمة مرور المسؤول المحلي خارج الخدمة عندما تكون PasswordExpiryDays 0. عند تمكينها، يتم حساب انتهاء الصلاحية على 00:00 UTC، وليس منتصف الليل المحلي.
  • يتم تعيين الإعدادات الافتراضية لعمق محفوظات كلمة المرور إلى 12. نطاق التدريب يتراوح من 3 إلى 24. يتم رفض كلمات مرور المسؤول الفارغة، ويمكن رفض كلمة المرور المستخدمة مؤخرا.
  • يتطلب تعيين دور مسؤول LDAP مطابقة اسم المجموعة بدقة. لم يعد اسم المجموعة الذي يحتوي فقط على الاسم الذي تم تكوينه يمنح الدور.
  • لا يمكن لعملية تثبيت جديدة أو إعادة ضبط المصنع أو النشر غير المراقب إعادة إستخدام كلمة مرور الجذر الافتراضية للمصنع. لا تمسح الترقية كلمة مرور المسؤول الحالية.
  • لم يعد بإمكان المسؤول للقراءة فقط تغيير ثقة SAML IdP.
  • لم يتم إرسال البريد الإلكتروني الذي يتعذر عليه إكمال STARTTLS في وضع المسح.
  • الترخيص الذكي هو وضع الترخيص الوحيد. تمت إزالة مفاتيح خيار PAK في X14.2. تتيح صورة Expressway القياسية عقد 2500 جلسة إرسال إشارات مشفرة؛ Expressway Select هو الصورة غير المحددة للحد.

في حالة فشل الترقية 

أترك المجموعة كما هي. لا يؤدي التحقق من الاستعداد الذي فشل إلى تغيير تكوين نظام المجموعة الحالي. لا تقم بإعادة ضبط عقدة في المصنع لتخطي الفشل.

تم إيقاف عملية التحقق من الاستعداد عن الترقية

يتوقف المثبت قبل إعادة التمهيد عندما يفشل الشهادة، التحقق من TLS، أو متطلبات هوية النظير. تمر العقد المستقلة بفحص هوية النظير.

تنبيه بعد ظهور عقدة

ويمكن لدفعة من إعادة تشفير قاعدة بيانات نظام المجموعة أن تثير إنذارا بفشل الاتصال العنقودي. أعطه الوقت الكافي للانتهاء. التصعيد إذا استمر.

يتعذر على المسؤول تسجيل الدخول

تعامل مع هذا الأمر بشكل منفصل عن فشل التثبيت. كلمات مرور انتهت صلاحيتها أو أعيد إستخدامها أو أول تسجيل دخول تمنع جلسة العمل. لا يعني ذلك أن الصورة قد فشلت.

فشل الشهادة أو هوية النظير

  1. قم بتنزيل لقطة نظام كاملة من العقدة التي تم إيقافها. خطأ تثبيت مفتوح في دليل tmp تلك اللقطة.
  2. إذا كانت الرسالة تتعلق بهوية النظير، فتحقق من مزيج من عناوين IP وشبكات FQDN، أو قائمة نظير فارغة. أجعل كل نظير يستخدم تنسيقا واحدا، وانتظر النسخ المتماثل، وتأكد من صحة نظام المجموعة، ثم أعد المحاولة. لا تقم بتغيير تنسيق الهوية في منتصف ترقية متدفقة.
  3. إذا كانت الرسالة تتعلق بالشهادة، فقارنها بقاعدة ملاحظة الإصدار: يجب أن يكون FQDN للنظام في شبكة منطقة التخزين (SAN)، أو في شبكة منطقة التخزين (CN) فقط عندما تكون شبكة منطقة التخزين (SAN) فارغة. لا يسمح لشبكة منطقة التخزين (SAN) الحالية بالرجوع إلى CN.
  4. قم بإعادة إصدار الشهادة باستخدام كل اسم DNS أو عنوان IP مطلوب في نوع شبكة منطقة التخزين (SAN) الصحيح. رفض اسم يحتوي على NUL مدمج.
  5. تأكد من أن الشهادة الجديدة حديثة وموثوق بها و RSA 2048+ أو P-256+ وموقعة مع SHA-2. لا تقم بإرفاق المفتاح الخاص بالحالة.
  6. قم بتعيين التحقق من TLS للفرض، وتأكد من صحة نظام المجموعة، ثم أعد محاولة الترقية على العقدة التي تم إيقافها.
  7. قم بمتابعة الترقية المتتالية فقط بعد أن تكون هذه العقدة سليمة. لا تقم بترقية العقد المتبقية أثناء إيقاف تشغيل عقدة واحدة في هذا التحقق.

تنبيه نظام المجموعة أثناء الترقية أو بعدها مباشرة

  1. تأكد من انتهاء الترقية نفسها ومن أن العقدة في X15.5.20.
  2. ابحث في سجل الأحداث عن Developer.ترقية الرسائل حول إعادة تشفير حقول ClusterDB، ثم "حفظ البيانات التي تم ترحيلها إلى CDB".
  3. انتظر حتى يتم مسح جهاز الإنذار. تقول مواد التدريب أنها تنظف عندما تنتهي إعادة التشفير.
  4. إذا بقي، قم بتجميع حالة نظام المجموعة والتنبيهات ولقطة من كل نظير. لا تقم بنسخ ملفات تعريف الارتباط لنظام المجموعة أو المواد الأساسية في ملاحظات الحالة.
  5. تأكد من أن TCP 4371 و 4372 مفتوحة فقط بين النظراء وأن TLS المتبادل ينجح. جدار الحماية الذي يسمح بوجود 4371 من أي مكان ليس هو الحل.

مشاكل تسجيل الدخول بعد تشغيل العقدة

  • إعادة توجيه واجهة مستخدم ويب إلى تغيير كلمة المرور. يجب إدخال كلمة المرور الحالية، ويجب أن تكون كلمة المرور الجديدة مختلفة. من المتوقع أن يكون هذا في أول تسجيل دخول إلى واجهة المستخدم الرسومية بعد تثبيت أو إعادة ضبط المصنع، وعندما تنتهي صلاحية كلمة مرور محلية.
  • يقول SSH إن لوحة المفاتيح التفاعلية / PAM فشلت ولم تفتح أبدا صدفة. يجب تغيير كلمة مرور محلية منتهية الصلاحية. لم يتم منح الجلسة القديمة.
  • REST ترجع 401. متوقع لمسؤول محلي منتهي الصلاحية. يمكن أن يعرض سجل الأحداث عدم تطابق كلمة المرور أو فشل taa-chkpasswd لحقل API. قم بتغيير كلمة المرور، ثم أعد المحاولة.
  • تم رفض كلمة مرور جديدة. هو في السيرة (الافتراضي في آخر 12)، أو فشل في قواعد التعقيد الحالية.
  • فقد مسؤول LDAP الدور المتوقع. قارن المجموعة التي تم تكوينها باسم المجموعة المحدد الذي تم إرجاعه بواسطة LDAP. لم تعد مطابقة جزئية أو سلسلة فرعية تمنح الدور. يتعذر على مسؤول للقراءة فقط تحرير ثقة SAML IdP.
  • لا توجد كلمة مرور جذر إعدادات المصنع الافتراضية على تثبيت جديد أو إعادة ضبط المصنع. عدم البحث عن بيانات اعتماد افتراضية أو توزيعها. لا تقوم الترقية بمسح كلمة مرور المسؤول الحالية.
caution-icon

تحذير: إعادة ضبط المصنع ليست خطوة إستعادة الترقية. يقوم بحذف هوية نظام المجموعة وملفات تعريف الارتباط لنظام المجموعة. تقوم إعادة الضبط التي يتم تشغيلها بواسطة النظام بعد فك التجميع أو قاعدة بيانات نظام مجموعة غير متناسقة بالاحتفاظ بعنوان IP وكلمات مرور المسؤول والجذر، ومسح التكوين والسجلات الأخرى، وإرجاع العقدة إلى ترخيصها المؤقت. استخدمه فقط عند إستدعاء ملاحظات الإصدار له، وفقط بعد وجود نسخة إحتياطية.

الأدلة التي يتعين جمعها في حالة الحاجة إلى مركز المساعدة الفنية

  1. إصدار البرنامج والدور لكل عقدة، بالإضافة إلى أي عقدة تم إيقافها.
  2. لقطة نظام كاملة من العقدة الفاشلة، بما في ذلك tmp/install-error.
  3. نص شهادة الخادم (OpenSSL x509 -text -noout). لا يوجد مفتاح خاص.
  4. حالة نظام المجموعة والتنبيهات وما إذا كانت مجموعة xConfiguration TLSverify توضح إمكانية التنفيذ أو التساهل.
  5. بنود سجل الأحداث للترقية وحالات فشل مصادقة sshd أو httpd إذا لزم الأمر. تنقيح كلمات المرور وملفات تعريف الارتباط.
  6. سواء كنت تستخدم مسؤولين محليين أو LDAP أو SAML والتراخيص الذكية وأي أتمتة لواجهة برمجة التطبيقات (API).

بعد الترقية

في كل عقدة

  1. الإصدار هو بنية X15.5.20 المطلوبة.
  2. يمكن الوصول إلى العقدة على عنوان الإدارة وتحميل واجهة مستخدم ويب.
  3. لم يتم ترك أي جهاز أو قرص أو تنبيه تطبيق جديد قيد التشغيل. (يتم مسح تنبيه إتصالات نظام المجموعة بعد إعادة التشفير.)
  4. يتم إجراء عملية نسخ إحتياطي جديدة بعد إستقرار نظام المجموعة.

نظام المجموعة فقط

  1. وكل نظير في المجموعة يعمل بشكل جيد، والنسخ الإبداعي سليم.
  2. يتصل النظراء ب TLS المتبادل على TCP 4371 و 4372. (يجب أن يفشل اتصال بدون شهادة عميل صالحة.)
  3. يتم فرض TLSverify لنظام المجموعة.

   التساهل غير مدعوم. وقد تظل قيمة السماح القديمة مرئية، ولكنها لا تتجاوز التحقق من الصحة. تعيين "فرض" و"تأكيد نظام المجموعة" يبقى سليما.

4. لا يزال جدار الحماية يسمح ل TCP 4371 فقط من عناوين النظير.

5. لا تظهر أي ملفات تعريف إرتباط نظام مجموعة أو سر تشخيصي في السجلات أو ملاحظات اللقطة التي تقوم بتحميلها.

عمليات فحص الخدمة، حسب ما هو قيد الاستخدام

في حالة إستخدام كيف يبدو جيدا إذا فشل
المسؤولون المحليون تقبل GUI و SSH و API كلمة المرور الحالية. يتم دفع الحسابات التي انتهت صلاحيتها لتغيير كلمة المرور أو تلقي HTTP 401. تأكيد انتهاء الصلاحية في 00:00 بالتوقيت العالمي المنسق (UTC) وأن كلمة المرور الجديدة تقع خارج نافذة المحفوظات.
مسؤولو LDAP لا يقوم المسؤول بتسجيل الدخول إلا عندما يطابق اسم مجموعة LDAP المجموعة التي تم تكوينها تماما. قارن مجموعة الدليل بمجموعة Expressway. لا توسع التطابق لتدفع المرء إلى تسجيل الدخول.
مكالمات SIP أو B2B تتصل مكالمة تجريبية في كلا الاتجاهين. تجميع محفوظات المكالمات ولقطة.
تسجيل H.323 المصدق عليه تسجل نقطة النهاية مع كل اسم مستعار تستخدمه، بما في ذلك معرف H.323 ورقم E.164. إضافة خريطة أسماء مستعارة لبيانات الاعتماد لكل اسم مستعار. تستخدم ملاحظات الإصدار xConfiguration CredentialAliasMap مع نوع النمط Exact. يؤدي أيضا إيقاف تشغيل CredentialAliasBinding على المنطقة الفرعية إلى إستعادة التسجيل، ويؤدي إلى إضعاف وضع الأمان. H.323 نفسه لا يزال.
تسجيل MRA أو الجهاز تقوم نقطة نهاية معروفة بتسجيل الاتصال وإعداده. أسماء DNS أو عناوين IP محددة لشهادات عميل الاتصالات الموحدة، وليست قيما عامة أو قيم غير مكونة بشكل صحيح. قارن الشهادات وبيانات اعتماد المسارات و DNS مع النسخ الاحتياطي للترقية المسبقة. إعادة إصدار شهادة تحتوي على شبكة SAN واسعة جدا.
تنبيهات البريد الإلكتروني تترك رسالة الاختبار العقدة باستخدام STARTTLS. إذا تعذر إكمال STARTTLS، يفشل التسليم في الإغلاق. إصلاح ثقة خادم البريد أو TLS. لا تتوقع إرجاع نص واضح.
الترخيص الذكي يتطابق التسجيل والتفويض مع واجهة مستخدم ويب. تبقى الصورة القياسية ضمن 2500 جلسة عمل مشفرة لإرسال الإشارات، أو أن العقدة هي Expressway Select. تحقق من النقل و CSSM. لا ينطبق خانة الاختيار "السماح بوظائف التحكم في التصدير الخاصة ب CSSM" على Expressway. يؤدي إبطال الرمز المميز وحذف مثيل المنتج إلى تعيين العقدة إلى "غير مسجل". مفاتيح الخيار ليست حل بديل.
برامج الراحة أو التهيئة النصية تتطابق أسماء الحسابات مع الطول الجديد وحدود الأحرف. تتضمن كتابات التكوين حماية CSRF التي تستخدمها واجهة المستخدم الرسومية (GUI). قم بتحديث العميل مقابل مخطط واجهة برمجة تطبيقات الشحن. من المتوقع فشل إستدعاء تمت إزالته /التوفير/OptionKey.

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
1.0
09-Oct-2026
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • دارين مكينون
    القائد الفني

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا