Sommario

Introduzione

Premesse

Informazioni sui difetti

Fisso rilasciato

Versioni CCO

Matrice di correzione

1. Dispositivi Cisco con software Cisco IOS XE versione 17.5.x o precedente in modalità controller

Automazione

Manuale

2. Dispositivi Cisco con software Cisco IOS XE versione 17.6.x-17.8.x in modalità controller

Automazione

Manuale

3. Dispositivi Cisco con software Cisco IOS XE versione 17.9.5a in modalità controller

4. Dispositivi Cisco con software Cisco IOS XE versione 17.9.6 in modalità controller

5. Dispositivi Cisco con software Cisco IOS XE versione 17.12.3a in modalità controller

6. Dispositivi Cisco con software Cisco IOS XE versione 17.12.4 in modalità controller

Introduzione

Questo documento descrive come risolvere il problema DNS Umbrella in cui i router SD-WAN utilizzano il certificato scaduto anziché quello nuovo.

Premesse

Il certificato digitale utilizzato dai router Cisco Catalyst SD-WAN per la registrazione con il metodo di autenticazione API Key/Secret con Cisco Umbrella DNS è scaduto il 30 settembre 2024. I router Cisco SD-WAN con il certificato scaduto non riusciranno a registrarsi nel servizio DNS Cisco Umbrella. Questo problema non si applica all'autenticazione basata su token per la registrazione di Umbrella DNS.

Per ulteriori informazioni, fare riferimento alla scadenza del certificato Cisco Umbrella DNS il 30 settembre 2024 nella notifica sul campo FN74166.

I dispositivi SD-WAN interessati con certificato CA radice ombrello scaduto non possono stabilire connessioni sicure con il DNS Cisco Umbrella per la registrazione del dispositivo.  Poiché il dispositivo non è registrato con il servizio DNS Umbrella, le richieste DNS dell'utente finale non vengono reindirizzate al server di dominio Umbrella da SD-WAN Edge per l'applicazione dei criteri di sicurezza DNS. La richiesta DNS proveniente dagli utenti finali dietro il perimetro SD-WAN non verrà eliminata e verrà servita dal server di dominio DNS configurato sui dispositivi degli utenti finali.

Informazioni sui difetti

Il certificato è stato aggiornato come parte dell'ID bug Cisco CSCwi43360 : scadenza del certificato nel settembre 2024 per la registrazione della sicurezza DNS nel cloud Umbrella.  (fissata in 17.9.6, 17.12.4, 17.15.1a)

Anche se il certificato è stato aggiornato, l'handshake SSL non viene stabilito e il problema è risolto nell'ID bug Cisco CSCwm73365 : handshake SSL non riuscito nonostante umbrella_root_ca.ca con il certificato più recente presente nel dispositivo. (risolto nella release 17.6.8a)

Fisso rilasciato

Versioni CCO

Release

17.6.8 bis

Matrice di correzione

Releases

Fasi consigliate per la risoluzione dei problemi da parte di Cisco

17.3.x/17.4.x/17.5.x

Attenersi alla procedura descritta nella sezione 1. Dispositivi Cisco con software Cisco IOS XE versione 17.5.x o precedente in modalità controller

17.6.1-17.6.7, 17.7.x, 17.8.x

Attenersi alla procedura descritta nella sezione 2. Dispositivi Cisco con software Cisco IOS XE versione 17.6.x a 17.8.x in modalità controller

17.6.8 bis

Il problema relativo alla scadenza del certificato DNS Umbrella è risolto in questa release.

17.9.1 - 17.9.4, 17.10.x, 17.11.x, 17.12.1-17.12.2, 17.13.x, 17.14.x, 17.15.1a

Usa script certificato DNS Umbrella per la copia automatica dei certificati nei dispositivi Edge. Fare riferimento al file Leggimi sul GIT per i passaggi da utilizzare per l'esecuzione dello script.

17.9.5 bis

Seguire le istruzioni della sezione 3

17.9.6

Seguire le istruzioni della sezione 4

17.12.3a

Seguire le istruzioni della sezione 5

17.12.4

Seguire le istruzioni della sezione 6

1. Dispositivi Cisco con software Cisco IOS XE versione 17.5.x o precedente in modalità controller

Utilizzare le opzioni di correzione per installare il nuovo certificato Umbrella RootCA.

Automazione

1. Per SD-WAN Manager 20.9.1 o versione successiva utilizzare lo script Umbrella DNS Cert per la copia automatizzata dei certificati sui dispositivi periferici da vManage.

2. Script certificato DNS Umbrella

3. Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per l'utilizzo dello script.

4. Dopo aver copiato il certificato RootCA nel dispositivo, ricaricare il router per completare il processo di installazione.

Manuale

1. Scaricare il nuovo certificato non scaduto dal sito Web New Umbrella Certificate e collocarlo su un dispositivo che abbia accesso ai router interessati nella sovrapposizione SD-WAN.

2. Immettere il comando Linux scp o un meccanismo simile per eseguire una copia protetta del file dal dispositivo di download su ciascun router interessato.
Ad esempio:

scp ./isrgrootx1.pem <Nome utente>@<EdgeIP>:trustidrootx3_ca.ca

Sostituire <Username> con un utente admin e <EdgeIP> con l'indirizzo IP del router interessato.

3. Dopo aver copiato il certificato RootCA nel dispositivo, ricaricare il router per completare il processo di installazione.

2. Dispositivi Cisco con software Cisco IOS XE versione 17.6.x-17.8.x in modalità controller

Utilizzare le opzioni di correzione per installare il nuovo certificato Umbrella RootCA.

Automazione

1. Per SD-WAN Manager 20.9.1 o versione successiva utilizzare lo script Umbrella DNS Cert per la copia automatizzata dei certificati sui dispositivi periferici da vManage.

2. Script certificato DNS Umbrella

3. Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per l'utilizzo dello script.

4. Dopo aver copiato il certificato RootCA nel dispositivo, ricaricare il router per completare il processo di installazione.

Manuale

1. Scaricare il nuovo certificato non scaduto dal sito Web New Umbrella Certificate e collocarlo su un dispositivo che abbia accesso ai router interessati nella sovrapposizione SD-WAN.

2. Immettere il comando Linux scp o un meccanismo simile per eseguire una copia protetta del file dal dispositivo di download su ciascun router interessato.
Ad esempio:

scp ./isrgrootx1.pem admin@<EdgeIP>:trustidrootx3_ca_092024.ca

Sostituire <EdgeIP> con l'indirizzo IP del router interessato.

3. Dopo aver copiato il certificato RootCA nel dispositivo, ricaricare il router per completare il processo di installazione

3. Dispositivi Cisco con software Cisco IOS XE versione 17.9.5a in modalità controller

Utilizzare le opzioni di correzione per installare il nuovo certificato Umbrella RootCA come spiegato in questa sezione, per la maggior parte delle piattaforme è disponibile un HOT SMU con la correzione. È inoltre possibile eseguire lo script indicato per installare il nuovo certificato Umbrella RootCA.

1. L'utilità HOT SMU si applica a queste piattaforme: "Hitless/Recommended SMU, SSL handshake fail while umbrella_root_ca.ca with most certificate that are presence on the device" :

4431 Integrated Services Router

4451-X Integrated Services Router

ASR 1001-X Router

Router virtuali

4331 Integrated Services Router

4221 Integrated Services Router

4351 Integrated Services Router

Catalyst 8500L Edge Platform

ASR 1001-HX Router

4321 Integrated Services Router

Catalyst 8500 Edge Platform

4461 Integrated Services Router

2. In alternativa alla SMU, eseguire lo script Umbrella DNS Cert Script Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per utilizzare lo script.

Opzione Solo script per:

ASR 1002-X Router

Catalyst 8300 Edge Platform

ISR serie 1000 con Cisco IOS XE SD-WAN

4. Dispositivi Cisco con software Cisco IOS XE versione 17.9.6 in modalità controller

1. La SMU HOT si applica a queste piattaforme: "Hitless/Recommended SMU, SSL handshake fail while umbrella_root_ca.ca with last certificate that are presence on the device" (L'handshake SSL non riesce nonostante il dispositivo sia presente in umbrella_root_ca.ca con il certificato più recente):

4221 Integrated Services Router

4321 Integrated Services Router

4451-X Integrated Services Router

Catalyst 8500 Edge Platform

4431 Integrated Services Router

Router virtuali

4461 Integrated Services Router

4331 Integrated Services Router

4351 Integrated Services Router

ASR 1001-HX Router

ASR 1001-X Router

Catalyst 8500L Edge Platform

3. In alternativa alla SMU, eseguire lo script Umbrella DNS Cert Script Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per utilizzare lo script.

Opzione Solo script per:

ASR 1002-X Router

Catalyst 8300 Edge Platform

ISR serie 1000 con Cisco IOS XE SD-WAN

5. Dispositivi Cisco con software Cisco IOS XE versione 17.12.3a in modalità controller

1. La SMU HOT si applica a queste piattaforme: "Hitless/Recommended SMU, SSL handshake fail while umbrella_root_ca.ca with last certificate that are presence on the device" (L'handshake SSL non riesce nonostante il dispositivo sia presente in umbrella_root_ca.ca con il certificato più recente):

4221 Integrated Services Router

Catalyst 8300 Edge Platform

4331 Integrated Services Router

4461 Integrated Services Router

1100 Integrated Services Router

4351 Integrated Services Router

4321 Integrated Services Router

4431 Integrated Services Router

Router virtuali

4451-X Integrated Services Router

Catalyst 8500L Edge Platform

Catalyst 8500 Edge Platform

ASR 1001-HX Router

2. In alternativa alla SMU, eseguire lo script Umbrella DNS Cert Script

Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per l'utilizzo dello script.

6. Dispositivi Cisco con software Cisco IOS XE versione 17.12.4 in modalità controller

1. La SMU HOT si applica a queste piattaforme: "Hitless/Recommended SMU, SSL handshake fail while umbrella_root_ca.ca with last certificate that are presence on the device" (L'handshake SSL non riesce nonostante il dispositivo sia presente in umbrella_root_ca.ca con il certificato più recente):

Catalyst 8500 Edge Platform

ASR 1001-HX Router

4331 Integrated Services Router

4321 Integrated Services Router

4221 Integrated Services Router

Router virtuali

4351 Integrated Services Router

4451-X Integrated Services Router

4461 Integrated Services Router

Catalyst 8300 Edge Platform

ASR 1002-HX Router

4431 Integrated Services Router

1100 Integrated Services Router

Catalyst 8500L Edge Platform

2. L'alternativa alla SMU è l'esecuzione dello script Umbrella DNS Cert Script Fare riferimento al file Leggimi sul GIT per i passaggi dettagliati per utilizzare lo script.

Attenzione: le registrazioni DNS Umbrella dai dispositivi continuano a funzionare finché non viene riavviato il dispositivo o non vengono effettuate nuove registrazioni.

Attenzione: se la configurazione dell'ombrello viene rimossa e riapplicata, viene attivata la nuova registrazione del DNS dell'ombrello. Finché questo processo non viene seguito, il DNS ombrello funziona correttamente.