Inhalt

Einleitung

In diesem Dokument wird das Verfahren zur Wiederherstellung einer Cisco DNA Center-Installation mit einem abgelaufenen Zertifikat usw. beschrieben. Cisco DNA Center hat in Version 2.3.2.0 digitale Zertifikate für etc. eingeführt, um eine sichere Datenkommunikation über Kubernetes sicherzustellen, sowohl innerhalb eines Knotens als auch zwischen Knoten in einem Cluster. Diese Zertifikate sind ein Jahr gültig und werden vor ihrem Ablauf automatisch verlängert. Die erneuerten Zertifikate werden von einem Hilfscontainer verarbeitet und dann dem etc.-Container zur Verfügung gestellt. Bei betroffenen Cisco DNA Center-Releases erkennt und aktiviert der Container "etc" diese erneuerten Zertifikate nicht dynamisch und verweist weiterhin auf die abgelaufenen Zertifikate, bis "etc" neu gestartet wird. Nach Ablauf des Zertifikats ist Cisco DNA Center nicht mehr funktionsfähig. Dieses Dokument enthält die erforderlichen Schritte zur Wiederherstellung der betroffenen Cisco DNA Center-Installation.

Bedingungen

Betroffene Versionen:

2.3.2.x

2.3.3.x

2.3.5.3

Feste Versionen:

2.3.3.7 HF4

2.3.5.3 HF5

2.3.5.4 nach dem 12. Oktober 2023

2.3.5.4 HF3

Symptome

Wenn das Zertifikat abläuft, werden eines oder mehrere dieser Symptome beobachtet.

1. Die Benutzeroberfläche des Cisco DNA Center ist ausgefallen.

2. Die meisten Dienste sind ausgefallen

3. Diese Fehler werden in der CLI angezeigt.

WARNING:urllib3.connectionpool:Retrying (Retry(total=0, connect=None, read=None, redirect=None, status=None)) after connection broken by 'SSLError(SSLError(1, u'[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:727)'),)': /v2/keys/maglev/config/node-x.x.x.x?sorted=true&recursive=true

Wiederherstellung

Die Wiederherstellung benötigt Zugriff auf die Root-Shell. In 2.3.x.x war eingeschränkte Shell standardmäßig aktiviert. In Version 2.3.5.x und höher ist eine Überprüfung des Zustimmungstokens erforderlich, um auf die Root-Shell zuzugreifen. Wenn die betroffene Umgebung Version 2.3.5.3 ist, arbeiten Sie mit dem TAC zusammen, um die Installation wiederherzustellen.

Schritt 1: Überprüfen des Problems

Führen Sie in der CLI den Befehl

Liste der Mitglieder von etcCTL

Wenn das Problem auf den Ablauf des Zertifikats zurückzuführen ist, schlägt der Befehl fehl und gibt einen Fehler zurück. Wenn der Befehl erfolgreich ausgeführt wird, ist Cisco DNA Center von diesem Problem nicht betroffen.  Dies ist ein Beispiel für die Ausgabe einer durchgeführten Installation mit abgelaufenem Zertifikat.

Liste der Mitglieder von etcCTL

client: etc cluster is not available or misconfigured; error #0: x509: zertifikat abgelaufen oder noch nicht gültig: aktuelle zeit 2023-10-20T20:50:14Z is after 2023-10-12T22:47:42Z

Schritt 2: Überprüfen des Zertifikats

Führen Sie diesen Befehl aus, um das Ablaufdatum des Zertifikats zu überprüfen.

für Zertifikate in $(ls /etc/maglev/.pki/ | grep etc. | grep -v -e key -e .cnf); do sudo openssl x509 -noout -subject -emitter -dates -in /etc/maglev/.pki/$certs;done

Geben Sie auf Aufforderung das Sudo-Kennwort ein. Überprüfen Sie in der Ausgabe, ob das Zertifikat abgelaufen ist.

[sudo] Passwort für maglev:

subject=CN = ecd-Client

emitter=CN = d0be82b3-0b50-e7bd-6bcd-b817c249f1c6, O = Cisco Systems, OU = Cisco DNA Center

notBefore=Okt 8 00:59:37 2022 GMT

notAfter=Okt 7 00:59:37 2023 GMT

subject=CN = ec-Peer

emitter=CN = d0be82b3-0b50-e7bd-6bcd-b817c249f1c6, O = Cisco Systems, OU = Cisco DNA Center

notBefore=Okt 8 00:59:37 2022 GMT

notAfter=Okt 7 00:59:37 2023 GMT

Schritt 4: Docker neu starten

a. Löschen Sie die ausgetretenen Container.

docker rm -v $(docker ps -q -f status=exited)

Je nach Anzahl der ausgefahrenen Container kann dies einige Minuten dauern.

b. Docker neu starten

sudo systemctl restart docker

Dieser Befehl startet alle Container neu und kann 30 bis 45 Minuten in Anspruch nehmen.

Schritt 5: Überprüfen, ob das Zertifikat erneuert wurde

Führen Sie den gleichen Befehl aus Schritt 2 aus, um zu überprüfen, ob das Zertifikat erneuert wurde. Sie hätte um ein Jahr verlängert werden müssen.

für Zertifikate in $(ls /etc/maglev/.pki/ | grep etc. | grep -v -e key -e .cnf); do sudo openssl x509 -noout -subject -emitter -dates -in /etc/maglev/.pki/$certs;done

Stellen Sie sicher, dass auf die GUI zugegriffen werden kann und der Zugriff auf die CLI fehlerfrei erfolgt.

Lösung

Mit dieser Problemumgehung bleibt das Cisco DNA Center ein Jahr lang betriebsbereit. Aktualisieren Sie die Cisco DNA Center-Installation auf eine feste Version, um einen dauerhaften Fehler zu beheben, wie in der Problemhinweis-Nr. FN74065 erwähnt.