HTTPS-fout in DNA Center voor SWIM oplossen

Inleiding

Dit document beschrijft een procedure voor het oplossen van problemen met HTTPS-protocol in het SWIM-proces voor Cisco DNA Center in Cisco IOS® XE-platforms.

Voorwaarden

Vereisten

U moet toegang hebben tot Cisco DNA Center via GUI met ADMIN ROL privilege en switch CLI.

Gebruikte componenten

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Probleem

Er is een veel voorkomende fout die wordt weergegeven door Cisco DNA Center / Software Image Management (SWIM) nadat de gereedheid voor het bijwerken van het image is gecontroleerd:

"HTTPS is NIET bereikbaar / SCP is bereikbaar"

Verificatie

Status netwerkapparaat in Cisco DNA Center Inventory

Navigeer naar Voorziening > Inventaris > Focus op inventaris wijzigen

Controleer de bereikbaarheid en beheerbaarheid van het netwerkapparaat dat u wilt upgraden. De status van het apparaat moet bereikbaar en beheerd zijn.

Als het netwerkapparaat een andere status heeft op het gebied van bereikbaarheid en beheerbaarheid, kunt u het probleem oplossen voordat u naar de volgende stappen gaat.

DNAC-CA-certificaat geïnstalleerd op netwerkapparaat

Ga naar het netwerkapparaat en voer de opdracht uit:

show running-config | sec crypto pki

U moet DNAC-CA trustpoint en DNAC-CA keten zien. Als u geen DNAC-CA trustpoint, keten of beide kunt zien, moet u de Telemetry Settings bijwerken om het DNAC-CA certificaat te kunnen doordrukken.

Als de controleerbaarheid van het apparaat is uitgeschakeld, installeer DNAC-CA certificaat handmatig met de volgende stappen:

• In een webbrowser type https://<dnac_ipaddress>/ca/pemand downloaden van het .pem-bestand
• Sla het .pem-bestand op uw lokale computer op
• Open .pem-bestand met een tekstverdelertoepassing
• CLI voor open netwerkapparaat
• Controleer elk oud DNA-CA certificaat met de opdracht show run | in crypto pki trustpoint DNAC-CA
• Als er een oud DNA-CA certificaat is, verwijder DNAC-CA cert met de opdracht in  no crypto pki trustpoint DNAC-CA  configuratiemodus 
• Voer de opdrachten in de configuratiemodus uit om DNAC-CA cert te installeren:

crypto pki trustpoint DNAC-CA 
enrollment mode ra
enrollment terminal
usage ssl-client
revocation-check none
exit
crypto pki authenticate DNAC-CA

• Het tekstbestand .pem plakken
• Voer ja in wanneer hierom wordt gevraagd
• Sla de configuratie op

Probleemoplossing

Communicatie van netwerkapparaat naar Cisco DNA Center in netwerkapparaat via poort 443

Voer de HTTPS-test voor bestandsoverdracht uit op uw netwerkapparaat 

copy https://<DNAC_IP>/core/img/cisco-bridge.png flash:

Met deze test wordt een PNG-bestand van Cisco DNA Center naar de switch overgebracht.

Deze uitvoer beschrijft of de bestandsoverdracht succesvol is

MXC.TAC.M.03-1001X-01#copy https://10.x.x.x/core/img/cisco-bridge.png flash:
Destination filename [cisco-bridge.png]? 
Accessing https://10.x.x.x/core/img/cisco-bridge.png...
Loading https://10.x.x.x/core/img/cisco-bridge.png 
4058 bytes copied in 0.119 secs (34101 bytes/sec)
MXC.TAC.M.03-1001X-01#

Als u de volgende uitvoer krijgt, is de bestandsoverdracht mislukt:

MXC.TAC.M.03-1001X-01#$//10.x.x.x/core/img/cisco-bridge.png flash:
Destination filename [cisco-bridge.png]? 
Accessing https://10.x.x.x/core/img/cisco-bridge.png...
%Error opening https://10.x.x.x/core/img/cisco-bridge.png (I/O error)
MXC.TAC.M.03-1001X-01#

Voer de volgende handelingen uit:

• Controleer of de firewall poort 443, 80 en 22 blokkeert.
• Controleer of er een toegangslijst is in poort 443 voor netwerkapparaten of in het HTTPS-protocol.
• Neem een pakket op in het netwerkapparaat terwijl de bestandsoverdracht plaatsvindt.

HTTPS-clientbroninterface in netwerkapparaat

Controleer of de broninterface van de client op het netwerkapparaat correct is geconfigureerd.

U kunt de opdracht uitvoeren show run | in http client source-interface om de configuratie te valideren:

MXC.TAC.M.03-1001X-01#show run | in http client source-interface 
ip http client source-interface GigabitEthernet0
MXC.TAC.M.03-1001X-01#

De HTTPS-overdrachtbestandstest zal mislukken als het apparaat een onjuiste broninterface heeft of de broninterface ontbreekt.

Neem een kijkje bij het voorbeeld:

Het apparaat van het laboratorium heeft het IP adres 10.88.174.43 in het Centrum van Cisco DNA van de Inventaris:

Screenshot van de inventaris:

HTTPS-test voor bestandsoverdracht mislukt:

MXC.TAC.M.03-1001X-01#copy https://10.x.x.x/core/img/cisco-bridge.png flash:
Destination filename [cisco-bridge.png]? 
%Warning:There is a file already existing with this name 
Do you want to over write? [confirm]
Accessing https://10.x.x.x/core/img/cisco-bridge.png...
%Error opening https://10.x.x.x/core/img/cisco-bridge.png (I/O error)
MXC.TAC.M.03-1001X-01#

Controleer de bron-interface:

MXC.TAC.M.03-1001X-01#show run | in source-interface
ip ftp source-interface GigabitEthernet0
ip http client source-interface GigabitEthernet0/0/0
ip tftp source-interface GigabitEthernet0
ip ssh source-interface GigabitEthernet0
logging source-interface GigabitEthernet0 vrf Mgmt-intf

Controleer interfaces:

MXC.TAC.M.03-1001X-01#show ip int br | ex unassigned
Interface IP-Address OK? Method Status Protocol
GigabitEthernet0/0/0 1.x.x.x YES manual up up 
GigabitEthernet0 10.88.174.43 YES TFTP up up

MXC.TAC.M.03-1001X-01#

Volgens een screenshot van de inventaris, ontdekte Cisco DNA Center het apparaat met behulp van de interface Gigabit Ethernet0 in plaats van Gigabit Ethernet0/0/0

U moet zich aanpassen met de juiste broninterface om het probleem op te lossen.

MXC.TAC.M.03-1001X-01#conf t
Enter configuration commands, one per line. End with CNTL/Z.
MXC.TAC.M.03-1001X-0(config)#ip http client source-interface GigabitEthernet0 
MXC.TAC.M.03-1001X-0(config)#

MXC.TAC.M.03-1001X-01#show run | in source-interface
ip ftp source-interface GigabitEthernet0
ip http client source-interface GigabitEthernet0
ip tftp source-interface GigabitEthernet0
ip ssh source-interface GigabitEthernet0
logging source-interface GigabitEthernet0 vrf Mgmt-intf
MXC.TAC.M.03-1001X-01#

MXC.TAC.M.03-1001X-01#copy https://10.x.x.x/core/img/cisco-bridge.png flash:
Destination filename [cisco-bridge.png]? 
Accessing https://10.x.x.x/core/img/cisco-bridge.png...
Loading https://10.x.x.x/core/img/cisco-bridge.png 
4058 bytes copied in 0.126 secs (32206 bytes/sec)
MXC.TAC.M.03-1001X-01#

Datumsynchronisatie

Controleer of het netwerkapparaat de juiste datum en klok heeft met de opdracht show clock

Neem een kijkje in het lab scenario waar DNAC-CA certificaat ontbrak in LAB apparaat. Het bijwerken van de telemetrie werd geduwd; nochtans, de installatie van het DNAC-CA- certificaat ontbrak wegens:

Jan 1 10:18:05.147: CRYPTO_PKI: trustpoint DNAC-CA authentication status = 0
%CRYPTO_PKI: Cert not yet valid or is expired -
start date: 01:42:22 UTC May 26 2023
end date: 01:42:22 UTC May 25 2025

Zoals u kunt zien, is de cert geldig; echter, de fout zei dat cert nog niet geldig is of is verlopen.

Controleer de tijd van het netwerkapparaat:

MXC.TAC.M.03-1001X-01#show clock
10:24:20.125 UTC Sat Jan 1 1994
MXC.TAC.M.03-1001X-01#

Er is een fout met de datum en de tijd. Om dit probleem op te lossen, kunt u een ntp server configureren of handmatig de kloktijd configureren met de opdracht in de voorkeursmodus clock set  . 

Handmatig voorbeeld van klokconfiguratie:

MXC.TAC.M.03-1001X-01#clock set 16:20:00 25 september 2023

NTP-configuratievoorbeeld:

MXC.TAC.M.03-1001X-0(config)#ntp server vrf Mgmt-intf 10.81.254.131

Debugs

U kunt debugs uitvoeren om HTTPS-probleem op te lossen:

debug ip http all
debug crypto pki transactions
debug crypto pki validation
debug ssl openssl errors