Tempi di ripristino estesi e errori di accesso SSH causati dall'accumulo di bundle del pool di fiducia CEPKI sul nodo NCS 1010

Opzioni per il download

PDF (253.0 KB)
Visualizza con Adobe Reader su diversi dispositivi
ePub (90.6 KB)
Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
Mobi (Kindle) (77.4 KB)
Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi

Aggiornato:16 dicembre 2025

ID documento:225398

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Informazioni correlate

Introduzione

In questo documento vengono descritti i tempi di ripristino estesi e gli errori di accesso SSH causati dall'accumulazione di pacchetti di trust CEPKI su un nodo NCS 1010 (con Cisco IOS® XR 24.3.1, 25.1.1).

Problema

I tempi di ripristino estesi intermittenti vengono osservati dopo il ricaricamento del Route Processor (RP) sui nodi ottici NCS 1010. Durante il periodo di ripristino, l'accesso SSH al dispositivo non riesce a causa di ritardi nell'inizializzazione di Cisco Embedded Public Key Infrastructure (CEPKI). In questo modo si evitano la gestione remota e le attività operative sui nodi interessati. I messaggi syslog e gli errori SSH indicano che il processo SSHD non può recuperare le chiavi host da CEPKI finché non viene completata l'inizializzazione, con conseguenti errori di accesso SSH. Il ripristino dell'accesso SSH viene osservato solo dopo il completamento dell'inizializzazione di CEPKI, spesso dopo 30-60 minuti. Il problema è correlato a un grande accumulo di pacchetti trustpool sul dispositivo, in particolare sulle versioni software 24.3.1 e 25.1.1.

Ambiente

Tecnologia: Reti ottiche
Famiglia di prodotti: NCS serie 1000 (nodi ottici NCS 1010)
Versioni software: IOS XR 24.3.1, 25.1.1 (problema riprodotto su entrambi)
Componenti: Route Processor (RP), CEPKI, processo SSHD
Funzioni operative: Applicazioni Call-Home, Smart Licensing
Osservazioni Recenti: Tempi di ripristino prolungati, errori di accesso SSH dopo il ricaricamento dell'RP, accumulo di bundle trustpool elevati

Risoluzione

Per ridurre e risolvere il ritardo di inizializzazione CEPKI e l'errore di accesso SSH dovuto all'accumulo del bundle del trustpool, attenersi alla procedura descritta. Questi passaggi derivano direttamente dall'analisi tecnica convalidata e dalle risoluzioni documentate.

Verifica Accumulazione Bundle Trustpool:

Eseguire questi comandi per esaminare lo stato corrente del bundle del trustpool e le informazioni sul certificato correlato. Gli output di esempio non sono disponibili nei dati forniti.

Passaggio 1. Esaminare le informazioni tecniche dettagliate relative a NCS1010.
```
show tech ncs1010 detailed
```
Passaggio 2. Esaminare i dettagli della sessione di crittografia.
```
show tech crypto session
```
Passaggio 3. Verificare i dati del supporto tecnico CEPKI.
```
show tech-support cepki
```
Passaggio 4. Verificare lo stato del database di sistema.
```
show tech sysdb
```
Passaggio 5. Elencare tutti i certificati delle CA crittografiche installati.
```
show crypto ca certificates
```
Passaggio 6. Visualizzare i dettagli del bundle del trustpool.
```
show crypto ca trustpool detail
```
Passaggio 7. Visualizzare lo stato del trust pool.
```
show crypto ca trustpool
```
Passaggio 8. Visualizzare i criteri del pool di fiducia.
```
show crypto ca trustpool policy
```
Soluzione per le versioni interessate (24.3.1 e 25.1.1):

Per pulire i bundle trustpool accumulati e forzare la reimportazione, eseguire i comandi indicati in sequenza. Questo processo rimuove i certificati del pool di fiducia scaricati in precedenza e scarica il bundle corrente, riducendo i ritardi di inizializzazione.

Passaggio 1. Eliminare i certificati del pool di fiducia prima dell'importazione.
```
crypto ca trustpool import url clean
```
Passaggio 2. Importare il bundle trustpool.
```
crypto ca trustpool import url
```
Correzione permanente (aggiornamento consigliato):

Il problema sottostante è stato risolto in Cisco IOS XR versione 26.1.1 con ID bug Cisco CSCwq39205 .
Eseguire l'aggiornamento a questa release per assicurarsi che il sistema cancelli automaticamente i certificati del pool di fiducia scaricati in precedenza prima di scaricare il bundle corrente. In questo modo viene mantenuto uno stato del pool di fiducia pulito e coerente per le operazioni future.
Consulenza sul metodo di trasporto a domicilio:

Si noti che Cisco ha annunciato la fine del ciclo di vita (EoL) per il metodo di trasporto Call-Home a partire da Cisco IOS XR versione 25.3.1. Si consiglia di passare al metodo di trasporto di Smart Licensing per continuare a supportare il sistema. Per ulteriori informazioni, fare riferimento agli avvisi Cisco forniti.

Indicatori tecnici e registri:

Syslog:

sshd[21897]: main: failed to get keys from cepki

Syslog:

cepki[274]: certificate database updated

Errore SSH:

ssh: connect to host <node> port 22: Connection refused

Osservazione: Processo CEPKI che aggiorna ripetutamente i certificati senza il segnale di fine inizializzazione (EOI).
Numero di pool di trust osservato: 20 occorrenze di 'Trustpool: Predefinito, 768 di 'Pool di fiducia: Scaricato'.

Causa

La causa principale è l'accumulo di più pacchetti trustpool sul dispositivo, innescato da download ripetuti tramite applicazioni Call-Home e Smart Licensing. Nelle versioni 24.3.1 e 25.1.1 di Cisco IOS XR, queste applicazioni scaricano i trust pool senza cancellare i certificati precedentemente archiviati, causando ritardi nell'inizializzazione di CEPKI e nel recupero della chiave SSH. Questo comportamento è stato risolto e risolto in Cisco Bug ID CSCwq39205.
nella release 26.1.1, in cui il sistema cancella i certificati del trustpool precedenti prima di scaricare nuovi bundle.