Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Configurazioni

Verifica

Passaggio facoltativo

Risoluzione dei problemi

Introduzione

In questo documento viene descritta la procedura per aggiungere un certificato SSL Openstack RESTAPI rinnovato per la connessione Virtualized Infrastructure Manager (VIM) in Cisco Elastic Services Controller.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Cisco Elastic Services Controller

- Cisco VIM/Openstack

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Elastic Services Controller 5.10.0.95

- Cisco VIM 4.2.2

Nota: questa procedura è valida anche per aggiungere un nuovo certificato mentre si aggiunge un nuovo connettore VIM.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Dopo il rinnovo del certificato SSL Openstack RESTAPI (certificato proxy per l'ambiente Cisco VIM), Elastic Services Controller segnala che la connessione VIM non è riuscita.

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/yangesc.log

2024-04-09 10:35:36.148 WARN ===== SEND NOTIFICATION STARTS =====

2024-04-09 10:35:36.148 WARN Type: VIM_CONNECTION_STATE

2024-04-09 10:35:36.148 WARN Status: FAILURE

2024-04-09 10:35:36.148 WARN Status Code: 500

2024-04-09 10:35:36.148 WARN Status Msg: VIM Connection State Down

2024-04-09 10:35:36.148 WARN Vim connector id: cvim-openstack-lab

2024-04-09 10:35:36.148 WARN ===== SEND NOTIFICATION ENDS =====

[admin@lab-esc-1 ~]$ sudo escadm vim show

{

"id":"cvim-openstack-lab",

"type":"OPENSTACK",

"last_checked":"2024-04-09T10:35:36.099",

"status":"CONNECTION_FAILED",

"status_message":"Unable to establish VIM connection",

}

Configurazioni

Elenca i certificati correnti presenti nell'area di attendibilità di Elastic Services Controller:

[admin@lab-esc-1 ~]$ escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab, Apr 4, 2024, trustedCertEntry,

Copiare/trasferire il file del certificato CA nella macchina virtuale di Elastic Services Controller.

1. Per l'installazione di Active-Standby Elastic Services Controller, copiare il certificato nella macchina virtuale attiva.

2. Per l'installazione di Active-Active ESC, copiare il certificato nella VM Leader Primario Geo.

[admin@lab-esc-1 ~]$ ls -l /home/admin

-rw-r--r--. 1 admin admin 1911 Apr 9 06:20 cvim-openstack-lab-renewed_haproxy.crt

Aggiungere il certificato all'archivio attendibilità di Elastic Services Controller eseguendo escadm truststore add il comando.

1. L'argomento File fa riferimento al file di certificato CA di tipo X.509, v1, v2 e v3 e PKCS#7.

2. L'argomento Alias è univoco e fa riferimento al nome assegnato a questo certificato CA specifico.

[admin@lab-esc-1 ~]$ sudo escadm truststore add --alias cvim-openstack-lab-renewed --file cvim-openstack-lab-renewed_haproxy.crt --verbose

CA certificate "cvim-openstack-lab-renewed" added successfully.

On ESC setup running ETSI, restart ETSI by running "sudo escadm etsi restart". All other components will reload the certificate automatically.

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Verificare se il certificato è stato aggiunto correttamente all'archivio attendibilità di Elastic Services Controller.

[admin@lab-esc-1 ~]$ sudo escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab, Apr 4, 2024, trustedCertEntry,

cvim-openstack-lab-renewed, Apr 9, 2024, trustedCertEntry,

Verificare se la connessione VIM è attiva.

[admin@lab-esc-1 esc]$ sudo escadm vim show

{

"id":"cvim-openstack-lab",

"type":"OPENSTACK",

"last_checked":"2024-04-09T11:15:57.157",

"status":"CONNECTION_SUCCESSFUL",

"status_message":"Successfully connected to VIM"

}

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/yangesc.log

2024-04-09 11:15:57.188 INFO ===== SEND NOTIFICATION STARTS =====

2024-04-09 11:15:57.188 INFO Type: VIM_CONNECTION_STATE

2024-04-09 11:15:57.188 INFO Status: SUCCESS

2024-04-09 11:15:57.188 INFO Status Code: 200

2024-04-09 11:15:57.188 INFO Status Msg: VIM Connection State Up

2024-04-09 11:15:57.189 INFO Vim connector id: cvim-openstack-lab

2024-04-09 11:15:57.189 INFO ===== SEND NOTIFICATION ENDS =====

Passaggio facoltativo

In caso di rinnovo del certificato, rimuovere il vecchio certificato dopo aver confermato che la connessione VIM è attiva dopo l'aggiunta di un nuovo certificato.

[admin@lab-esc-1 ~]$ sudo escadm truststore delete --alias cvim-openstack-lab --verbose

CA certificate "cvim-openstack-lab" deleted successfully

[admin@lab-esc-1 ~]$ sudo escadm truststore show --verbose

esc, Mar 30, 2024, trustedCertEntry,

cvim-openstack-lab-renewed, Apr 9, 2024, trustedCertEntry,

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Il truststore di Elastic Services Controller viene ricaricato automaticamente dopo l'aggiunta di un nuovo truststore, pertanto la connessione VIM deve diventare automaticamente attiva. Controllare i registri di escmanager per la risoluzione dei problemi in caso di errore.

[admin@lab-esc-1 ~]$ tail -100f /var/log/esc/escamanager.log

2024-04-09 11:15:55.369 INFO [SslManager.java:run:262] Change of type ENTRY_MODIFY is detected on truststore. Trigger reloading.

2024-04-09 11:15:55.370 INFO [SslManager.java:loadESCTruststore:215] ESC truststore file loaded successfully.

2024-04-09 11:15:55.375 INFO [SslManager.java:loadESCTruststore:226] Added Java default Root CA certificates: 136

2024-04-09 11:15:55.376 INFO [VimUtils.java:reloadVimManagerTrustStore:1057] Starting request to reload VimManager truststore.

2024-04-09 11:15:55.430 INFO [VimUtils.java:reloadVimManagerTrustStore:1065] Completed request to reload vimManager truststore.

2024-04-09 11:15:55.430 INFO [SslManager.java:run:270] Reloading of truststore is done.

2024-04-09 11:15:57.183 INFO [VimAuthenticationService.java:updateVimStatusFromNotification:709] Vim status message: VIM reachable; connection state: CONNECTED

2024-04-09 11:15:57.183 INFO [VimAuthenticationService.java:processVimStatusNotification:784] Sending VIM Status notification for vim cvim-openstack-lab, status CONNECTION_SUCCESSFUL

2024-04-09 11:16:31.428 INFO [VimUtils.java:getAuthStatusById:1077] VIM ID - cvim-openstack-lab, VimInfo is : VimInfoHolder [vimStatus=VIM_STATUS_REACHABLE, vimUserStatus=VIM_USER_STATUS_AUTHENTICATED, ts=2024-04-09T11:15:57.157]