Einführung

In diesem Dokument wird beschrieben, wie Sie häufige Probleme beheben können, wenn die ZTD-Lösung (Zero Touch Deployment) in Field Area Network (FAN) aus Connected Grid Router (CGR) und Field Network Director (FND) besteht.

 

Voraussetzungen 

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der ZTD-Bereitstellung mit dem CGR.
Dazu gehören CGR (CGR1120/CGR1240), FND, Tunnel Provisioning Server (TPS), Registration Authority (RA), Certificate Authority (CA), Domain Name Server (DNS) als Komponenten.  FND und Cisco Connected Grid Network Management System (CG-NMS) sind austauschbar, da CG-NMS eine frühere Version von FND ist.
 
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen. 

Schritte zur Fehlerbehebung gemäß ZTD-Prozess in FAN-Lösungen

Konfiguration der Fertigung mit Field Area Router (FAR)

Alles beginnt mit dieser Fertigungskonfiguration. Dieser Schritt ist daher der Schlüssel für eine erfolgreiche Bereitstellung.
 
Diese Konfiguration löst die ersten beiden Phasen aus: Simple Certificate Enrollment Protocol (SCEP) und Tunnelbereitstellung.
 
Ein erfolgreicher Test ist eine FAR-Lösung, die mit ihrer Produktionskonfiguration bereitgestellt wird und den ZTD-Prozess durchlaufen kann, um sich schließlich ohne Eingriff beim CG-NMS anzumelden.

Gewöhnliche Verdächtige:

• Die Anmeldedaten zwischen FAR und CG-NMS stimmen nicht überein.
• Die CGNA-URL (Connected Grid NMS Agent) für die Tunnelbereitstellung ist falsch (vergewissern Sie sich, dass sie "https" und nicht "http" lautet.
• Domain Name Server (DNS) ist falsch konfiguriert, um den vollqualifizierten TPS-Domänennamen (FQDN) aufzulösen.

Wenn bei der Fehlerbehebung in diesen beiden Phasen die Fertigungskonfiguration aktualisiert werden muss, sollte dieser Prozess befolgt werden:  

• FAR-Verbindungen mit dem HE blockieren (physisch oder logisch)
• Zurücksetzen des FAR auf seine Express-Setup-Konfiguration
• Änderungen übernehmen
• Erstellen einer neuen Datei "express-setup-config"
• Speichern der Konfiguration im nvram
• Stellen Sie die Verbindung wieder her, damit der FAR den ZTD-Prozess erneut auslösen kann.

SCEP-Registrierung

Ziel dieser Phase ist es, die FAR zu autorisieren, ihr LDevID-Zertifikat (Local Device Identity) von der RSA Public Key Infrastructure (PKI) zu erhalten, und das Zertifikat nach der Autorisierung zu erhalten. Dieser Schritt ist eine Voraussetzung für den nächsten, bei dem FAR sein Zertifikat für die Kommunikation mit dem TPS und die Einrichtung seines IPSec-Tunnels mit dem HER benötigt.

Es handelt sich um folgende Komponenten: FAR, RA, SCEP-Server, Radius-Server und zugehörige DB.

Ein TCL-Skript (Tool Command Language) mit dem Namen tm_ztd_scep.tcl initiiert automatisch den SCEP-Prozess und versucht weiter, bis die Registrierung erfolgreich ist.

Schritte	Betroffene Komponenten	Richtlinien zur Fehlerbehebung	Nützliche Befehle
Ereignismanager startet tm_ztd_scep.tcl-Skript	WEIT	Konfiguration des Ereignismanagers überprüfen Überprüfen der vom Skript verwendeten Umgebungsvariablen-Konfiguration	deb event manager tcl-Befehle markieren alle CLI-Befehle, die vom Skript angewendet werden
RA FQDN-Auflösung	FAR, DNS	Überprüfen der Verbindung zwischen FAR und DNS Überprüfen Sie den DNS-Eintrag, um diesen Namen aufzulösen. Konfiguration des FAR-Registrierungsprofils überprüfen	Pingen Sie den RA FQDN vom FAR.
FAR sendet SCEP-Anfrage an RA	FAR, RA	Konnektivität zwischen RA und FAR prüfen Überprüfen Sie die RA-Konfiguration. PKI-Server muss UP	Debuggen von Krypto-Pki-Transaktionen Crypto-Bereitstellung debuggen
PKI-Autorisierung	RA, RADIUS	Konnektivität zwischen RA- und RADIUS-Server prüfen Konfiguration der RA PKI-Autorisierung überprüfen RADIUS-Serverkonfiguration überprüfen	debuggen crypto pki scep Debuggen von Krypto-Pki-Transaktionen debuggen crypto pki-Server Crypto-Bereitstellung debuggen
FAR-Zeugnisausstellung	RA, Issuer CA	Konnektivität zwischen RA und AusgaberCA prüfen	RA: debuggen crypto pki Wenn die EmittentenCA eine IOS-CA ist, kann auch der gleiche Debug-Befehl verwendet werden.

Tunnelbereitstellung

Zum Zeitpunkt dieser Phase kommuniziert die FAR mit dem TPS (fungiert als Proxy im Auftrag des CG-NMS), um die Tunnelkonfiguration vom CG-NMS zu erhalten. Diese Phase wird vom SCEP tcl-Skript initiiert, sobald die Registrierung durch Aktivierung des CGNA-Profils erfolgt.

Die beteiligten Komponenten sind: FAR, DNS, TPS, CG-NMS.

Schritte	Beteiligte Komponenten	Richtlinien zur Fehlerbehebung	Nützliche Befehle
TCL-Skript zum Aktivieren des CGNA-Profils	WEIT	Überprüfen Sie, ob das richtige Profil für die Umgebungsvariable ZTD_SCEP_CGNA_Profile konfiguriert ist.	"show cgna profile all", um zu überprüfen, ob das Profil aktiv ist
CGNA-Profil auflösen TPS FQDN	FAR, DNS	Überprüfung der Verbindung zwischen DNS und FAR Überprüfen Sie den DNS-Eintrag, um diesen Namen aufzulösen. Überprüfen Sie die TPS-FQDN-Konfiguration in der CGNA-URL.	FAR: Ping TPS FQDN
CGNA-Profil erstellt HTTPS-Sitzung mit TPS	FAR, TPS	TPS-Dienst wird ausgeführt TPS-Tastaturdatei prüfen Überprüfen, ob TPS TPS-Pakete vom CGR empfängt CGNA-Profilkonfiguration überprüfen	Die TPS-Protokolldatei finden Sie unter: /opt/cgms-tpsproxy/log/tpsproxy.log
TPS-Weiterleitungstunnelanforderung an CG-NMS	TPS, CG-NMS	Überprüfen der TPS- und CG-NMS-Eigenschaften Überprüfen der Verbindung zwischen TPS und CG-NMS TPS- und CG-NMS-Protokolle prüfen	Die FND-Protokolldatei befindet sich unter :cd /opt/cgms/server/cgms/log

Der FAR kontaktiert TPS mit einer Tunnelbereitstellungsanfrage über HTTPS auf Port 9120.

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]
[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]: 
Inbound proxy request from [192.168.1.1] with client certificate subject 
[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]
[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]: 
Completed inbound proxy request from [192.168.1.1] with client certificate subject 
[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

  

Protokolle nachdem Tunnel zwischen HER und FAR eingerichtet wurde und nachfolgend kann FAR direkt mit der HER kommunizieren

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]
[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]: 
Inbound proxy request from [192.168.1.1] with client certificate subject [SERIALNUMBER=PID:

IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED: 
%[ch=1c3d5104][eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]: 
Completed inbound proxy request from [192.168.1.1] with client certificate subject [SERIALN

UMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4353: iok-tps: Jul 13 2016 14:46:12.425 +0000: %CGMS-6-UNSPECIFIED: 
%[ch=TpsProxyOutboundHandler][ip=192.168.1.1][sev=INFO][tid=qtp687776794-16]: 
Outbound proxy request from [192.168.1.2] to [192.168.1.1]

4354: iok-tps: Jul 13 2016 14:46:14.176 +0000: %CGMS-6-UNSPECIFIED: 
%[ch=TpsProxyOutboundHandler][ip=10.10.10.61][sev=INFO][tid=qtp687776794-16]: 
Outbound proxy request from [192.168.1.2] to [192.168.1.1

Geräteregistrierung

Schritt 1: Vorbereitung auf die Geräteregistrierung

CG-NMS leitet die Konfiguration des CGNA-Profils cg-nms-register weiter. Zusätzliche Befehle werden hinzugefügt, sodass das Profil sofort ausgeführt wird, anstatt auf das Ablaufen des Intervallzeitgebers zu warten.

CG-NMS deaktiviert die CGNA-Profil cg-nms-tunnel Tunnelbereitstellung wird zu diesem Zeitpunkt als abgeschlossen angesehen.

Schritt 2: CG-NMS erhält eine Geräteregistrierungsanfrage.

• Überprüfen der Bereitstellung von FAR in der DB
• Überprüfen Sie, ob die Dateien cg-nms.odm und cg-nms-scripts.tcl entweder im FAR-Flash fehlen oder auf eine neue Version aktualisiert werden müssen. CG-NMS lädt diese bei Bedarf automatisch hoch.
• Erfassen der FAR-aktuellen Konfiguration
• Verarbeiten Sie alle Ausgaben der Anzeigebefehle, die in der Anforderung enthalten sind. Fragen Sie bei Bedarf nach den fehlenden. Die Liste kann je nach FAR-Hardwarekonfiguration variieren. 

Wenn Sie weitere Informationen zur Implementierung der Zero Touch Deployment in Ihrem Netzwerk benötigen, wenden Sie sich an Ihren Cisco Partner oder Cisco Systemtechniker.

Wenden Sie sich für eine Express-Setup-Konfiguration auf dem Router an Ihren Partner oder Cisco Systemtechniker.

Zugehörige Informationen

• http://www.cisco.com/c/en/us/td/docs/routers/connectedgrid/cgr1000/1_0/software/configuration/guide/security/security_Book/sec_ztdv4_cgr1000.html
• Technischer Support und Dokumentation - Cisco Systems