Sommario

Introduzione

Problema

Soluzione

Passaggi per la rigenerazione del certificato del centro

Procedura per la rigenerazione del certificato del sensore

Introduzione

Questo documento descrive la procedura necessaria per rinnovare un certificato autofirmato (SSC) scaduto su un Cisco Cyber Vision Center.

Problema

I certificati utilizzati dal centro per la comunicazione con i sensori per l'interfaccia Web (se non esiste un certificato esterno) vengono generati al primo avvio del centro e sono validi per 2 anni (con un periodo di tolleranza aggiuntivo di 2 mesi). Una volta raggiunto il tempo, i sensori non saranno più in grado di connettersi al centro, mostrando il seguente tipo di errori nei registri:

2023-08-04T09:47:53+00:00 c4819831-bf01-4b3c-b127-fb498e50778d sensorsyncd[1]: 04/08/2023 09:47:53 sensorsyncd WARN failed to connect to center: rabbitmq error: x509: certificate has expired or is not yet valid: current time 2023-08-04T09:47:53Z is after 2023-08-02T10:35:35Z [caller=push.go:42]

Inoltre, la connessione all'interfaccia utente Web visualizzerà un errore o verrà bloccata a seconda del browser Web se non è in uso alcun certificato esterno.

Soluzione

È applicabile alla versione 4.2.x. Per le versioni 4.2.1 e successive, può essere eseguito anche dalla GUI Web.

Passaggi per la rigenerazione del certificato del centro

1. Convalida il certificato corrente

root@center:~# openssl x509 -subject -startdate -enddate -noout -in /data/etc/ca/center-cert.pem

subject=CN = CenterDemo

notBefore=Aug 8 11:42:30 2022 GMT

notAfter=Oct 6 11:42:30 2024 GMT

2. Genera un nuovo certificato

Per generare il nuovo certificato, è necessario utilizzare il nome comune (dal campo "subject=CN") ottenuto dalla fase precedente

root@center:~# sbs-pki --newcenter=CenterDemo

6C89E224EBC77EF6635966B2F47E140C

3. Riavviare il Centro.

Per quanto riguarda le installazioni sia con il Centro locale che con il Centro globale, è essenziale annullare la registrazione dei Centri locali e iscriverli nuovamente.

Procedura per la rigenerazione del certificato del sensore

Se il certificato del centro è scaduto, è possibile che alcuni certificati dei sensori stiano per scadere, in quanto sono validi anche 2 anni dal momento in cui il sensore viene creato al centro.

- Per i sensori installati con l'estensione, la ridistribuzione utilizzerà un nuovo certificato.

- Per i sensori installati manualmente:

1. Generare un nuovo certificato al centro con il numero di serie del sensore:

root@center:~# sbs-pki --newsensor=FCWTEST

326E50A526B23774CBE2507D77E28379

Notare l'ID restituito dal comando

2. Ottieni l'ID sensore per questo sensore

root@center:~# sbs-sensor list

c6e38190-f952-445a-99c0-838f7b4bbee6

FCWTEST (serial number=FCWTEST)

version:

status: ENROLLED

mac:

ip:

capture mode: optimal

model: IOX

hardware:

first seen on 2022-08-09 07:23:15.01585+00

uptime 0

last update on: 0001-01-01 00:00:00+00

3. Aggiorna il database per il sensore con l'ID certificato

root@center:~# sbs-db exec "UPDATE sensor SET certificate_serial='326E50A526B23774CBE2507D77E28379' WHERE id='c6e38190-f952-445a-99c0-838f7b4bbee6'"

UPDATE 1

Il numero di serie del certificato deve essere il valore ottenuto dal primo passaggio e deve essere l'ID sensore del sensore

4. Scaricare il pacchetto di provisioning per questo sensore dalla GUI Web

5. Ripetere la distribuzione con questo pacchetto di provisioning