Inhalt

Einleitung

Hintergrundinformationen

Identifizieren der übergeordneten Zertifikate

Sanierungsprozess

Einleitung

In diesem Dokument wird beschrieben, wie Sie das DNS Umbrella-Problem beheben, bei dem SD-WAN-Router das abgelaufene Zertifikat anstelle des neuen verwenden.

Hintergrundinformationen

Für das aktuelle DNS-Umbrella-Zertifikat, dessen Zertifikat am 30. September abläuft, steht es vor einer zusätzlichen Herausforderung, da es sowohl umbrella_root_ca_1.ca (neuestes Zertifikat von vManage verschoben) als auch die alte Datei trustidrootx3_ca_092024 gibt, die am 20. September abgelaufen ist 4 im Bootflash scheint das Gerät zu versuchen, den Inhalt von trustidrootx3_ca_092024 zu verwenden, obwohl es abgelaufen ist.

Weitere Informationen finden Sie in der Problemhinweis-Funktion FN74166 zum Ablauf des Cisco Umbrella DNS-Zertifikats am 30. September 2024.

Identifizieren der übergeordneten Zertifikate

- umbrella_root_ca_1.ca ist der Dateiname, der auf den SD-WAN-Routern generiert wird, wenn das Zertifikat von vManage per Push übertragen wird. Dieses Zertifikat enthält das neueste Zertifikat. Da die Router jedoch die ältere Datei verwenden, kann der neue Zertifikatsinhalt nicht verwendet werden.

- trustidrootx3_ca_062035.ca ist das neueste Zertifikat für den Fall, dass Sie ein Upgrade auf eine feste Version für den Cisco Bug CSCwi43360 durchgeführt haben.

Alte Defektreferenz: Behoben in 17.9.6, 17.12.4.

Cisco bug ID CSCwi43360: Cert expiry on Sept 2024 for DNS Security registration to Umbrella cloud

Neuer Fehler (in Bearbeitung):

Cisco bug ID CSCwm73365: SSL handshake fails despite umbrella_root_ca.ca with latest certificate being present on the device

Sanierungsprozess

Die Problemumgehung besteht darin, den Inhalt des neuesten Zertifikats zu kopieren und in der Datei trustidrootx3_ca_092024.ca auf den SD-WAN-Routern zu ersetzen.

1. Für die Geräte mit dem neuen Zertifikat (das die Fehlerbehebung für die Cisco Bug-ID CSCwi4360 enthält).

copy bootflash:trustidrootx3_ca_062035.ca bootflash:trustidrootx3_ca_092024.ca

2. Für Geräte, für die das neue Zertifikat mithilfe von vManage per Push übermittelt wird, finden Sie das Zertifikat unter Field Notice FN74166.

copy bootflash:umbrella_root_ca_1.ca bootflash:trustidrootx3_ca_092024.ca

Vorsicht: Geräte mit den aktualisierten Zertifikaten vom September 2024 funktionieren weiter, solange es keinen Neustart des Geräts oder keine neuen Registrierungen gibt.

Achtung: Wenn die Umbrella-Konfiguration entfernt und erneut angewendet wird, löst dies die erneute Registrierung des Umbrella-DNS aus. Solange dieser Prozess nicht befolgt wird, funktioniert der Umbrella DNS ordnungsgemäß.