Contents

Introdução

Informações de Apoio

Informações do Defeito

Versão Fixa

Versões do CCO

Matriz de correção

1. Dispositivos Cisco executando o software Cisco IOS XE versão 17.5.x ou anterior no modo controlador

2. Dispositivos Cisco executando o software Cisco IOS XE versão 17.6.x a 17.8.x no modo de controlador

3. Dispositivos Cisco executando o software Cisco IOS XE versão 17.9.5a no modo controlador

4. Dispositivos Cisco executando o software Cisco IOS XE versão 17.9.6 no modo controlador

5. Dispositivos Cisco que são Cisco IOS XE Software Release 17.12.3a no modo de controlador

6. Dispositivos Cisco executando o software Cisco IOS XE versão 17.12.4 no modo controlador

Introdução

Este documento descreve como resolver o problema do DNS Umbrella em que os roteadores SD-WAN usam o certificado expirado em vez do novo.

Informações de Apoio

O certificado digital usado pelos roteadores Cisco Catalyst SD-WAN para registro usando o método de autenticação Chave de API/Segredo com o DNS do Cisco Umbrella expirou em 30 de setembro de 2024. Os roteadores Cisco SD-WAN com o certificado expirado não serão registrados no serviço DNS do Cisco Umbrella. Esse problema não se aplica à autenticação baseada em token para o registro DNS do Umbrella.

Consulte o certificado DNS do Cisco Umbrella que expira em 30 de setembro de 2024, no Field Notice FN74166 para obter mais detalhes.

Os dispositivos SD-WAN afetados com certificado CA raiz do guarda-chuva expirado não podem estabelecer conexões seguras com o DNS do guarda-chuva da Cisco para o registro do dispositivo.  Como o dispositivo não está registrado com o Serviço DNS do Umbrella, as solicitações DNS do usuário final não são redirecionadas para o servidor de domínio do Umbrella pela borda SD-WAN para aplicação da política de Segurança DNS. A solicitação DNS dos usuários finais por trás da borda da SD-WAN não será descartada e será atendida pelo servidor de domínio DNS configurado nos dispositivos do usuário final.

Informações do Defeito

O certificado foi atualizado como parte da ID de bug da Cisco CSCwi43360 : Vencimento do certificado em setembro de 2024 para registro de Segurança DNS na nuvem Umbrella.  (corrigido nas versões 17.9.6, 17.12.4, 17.15.1a)

Mesmo com o certificado sendo atualizado, o handshake SSL não é estabelecido, que é endereçado como parte da ID de bug Cisco CSCwm73365 : o handshake SSL falha apesar do umbrella_root_ca.ca com o certificado mais recente presente no dispositivo. (corrigido na seção 17.6.8a)

Versão Fixa

Versões do CCO

Versão

17.6.8 bis

Matriz de correção

Versões

Etapas de correção recomendadas pela Cisco

17.3.x/17.4.x/17.5.x

Siga as etapas descritas em 1. Dispositivos Cisco executando o software Cisco IOS XE versão 17.5.x ou anterior no modo de controlador

17.6.1-17.6.7, 17.7.x, 17.8.x

Siga as etapas da Seção 2. Dispositivos Cisco executando o Cisco IOS XE Software Release 17.6.x a 17.8.x no modo de controlador

17.6.8 bis

O problema de expiração do Umbrella DNS Cert foi corrigido nesta versão.

17.9.1 - 17.9.4, 17.10.x, 17.11.x, 17.12.1-17.12.2, 17.13.x, 17.14.x, 17.15.1a

Use o Script de Certificação DNS do Umbrella para fazer uma cópia automatizada do certificado para os dispositivos de Borda. Consulte o arquivo readme no GIT para ver as etapas a serem usadas para executar o script.

17,9,5a

Siga as etapas na Seção 3

17.9.6

Siga as etapas na Seção 4

17.12.3a

Siga as etapas na Seção 5

17.12.4

Siga as etapas na Seção 6

1. Dispositivos Cisco executando o software Cisco IOS XE versão 17.5.x ou anterior no modo controlador

Use as opções de remediação para instalar o novo certificado Umbrella RootCA.

1. Automatizado:

1. Para o SD-WAN Manager 20.9.1 ou superior, use o script Umbrella DNS Cert para cópia de certificado automatizada para os dispositivos de borda do vManage.

2. Script de certificação DNS da Umbrela

3. Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

4. Depois que o certificado RootCA for copiado para o dispositivo, recarregue o roteador para concluir o processo de instalação.

2. Manual:

1. Baixe o novo certificado não expirado do site New Umbrella Certificate e coloque-o em um dispositivo que tenha acesso ao(s) roteador(es) afetado(s) na sobreposição SD-WAN.

2. Insira o comando scp do Linux ou um mecanismo semelhante para executar uma cópia segura do arquivo do dispositivo de download em cada roteador afetado.

Por exemplo:

scp ./isrgrootx1.pem <Username>@<EdgeIP>:trustidrootx3_ca.ca

Substitua <Username> por um usuário admin e <EdgeIP> pelo endereço IP do roteador afetado.

c. Depois que o certificado RootCA for copiado para o dispositivo, recarregue o roteador para concluir o processo de instalação.

2. Dispositivos Cisco executando o software Cisco IOS XE versão 17.6.x a 17.8.x no modo de controlador

Use as opções de remediação para instalar o novo certificado Umbrella RootCA.

1. Automatizado:

1. Para o SD-WAN Manager 20.9.1 ou superior, use o script Umbrella DNS Cert para cópia de certificado automatizada para os dispositivos de borda do vManage.

2. Script de certificação DNS Umbrella

3. Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

4. Depois que o certificado RootCA for copiado para o dispositivo, recarregue o roteador para concluir o processo de instalação.

2. Manual:

1. Baixe o novo certificado não expirado do site New Umbrella Certificate e coloque-o em um dispositivo que tenha acesso ao(s) roteador(es) afetado(s) na sobreposição SD-WAN.

2. Insira o comando Linux scp ou mecanismo semelhante para executar uma cópia segura do arquivo do dispositivo de download em cada roteador afetado.

Por exemplo:

scp ./isrgrootx1.pem admin@<IPdaBorda>:trustidrootx3_ca_092024.ca

Substitua <EdgeIP> pelo endereço IP do roteador afetado.

c. Depois que o certificado RootCA for copiado para o dispositivo, recarregue o roteador para concluir o processo de instalação

3. Dispositivos Cisco executando o software Cisco IOS XE versão 17.9.5a no modo controlador

Use as opções de remediação para instalar o novo certificado Umbrella RootCA conforme explicado nesta seção, para a maioria das plataformas há um HOT SMU disponível com a correção. Você também tem a opção de executar o script mencionado para instalar o novo certificado Umbrella RootCA.

1. O HOT SMU aplica-se a estas plataformas - "SMU malsucedida/recomendada, o handshake SSL falha apesar do umbrella_root_ca.ca com o certificado mais recente presente no dispositivo" :

Roteador de Serviços Integrados série 4431

Roteador de serviços integrados 4451-X

Roteador ASR 1001-X

Roteadores virtuais

Roteador de Serviços Integrados série 4331

Roteador de Serviços Integrados série 4221

Roteador de Serviços Integrados série 4351

Plataforma de borda Catalyst 8500L

Roteador ASR 1001-HX

Roteador de Serviços Integrados série 4321

Plataforma de borda Catalyst 8500

Roteador de Serviços Integrados série 4461

2. Como alternativa ao SMU, execute o script Umbrella DNS Cert Script Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

Opção Somente script para:

Roteador ASR1002-X

Plataforma de borda Catalyst 8300

ISR 1000 Series executando Cisco IOS XE SD-WAN

4. Dispositivos Cisco executando o software Cisco IOS XE versão 17.9.6 no modo controlador

1. O HOT SMU aplica-se a estas plataformas - "Hitless/Recommended SMU, SSL handshake falha apesar de umbrella_root_ca.ca com certificado mais recente presente no dispositivo":

Roteador de Serviços Integrados série 4221

Roteador de Serviços Integrados série 4321

Roteador de serviços integrados 4451-X

Plataforma de borda Catalyst 8500

Roteador de Serviços Integrados série 4431

Roteadores virtuais

Roteador de Serviços Integrados série 4461

Roteador de Serviços Integrados série 4331

Roteador de Serviços Integrados série 4351

Roteador ASR 1001-HX

Roteador ASR 1001-X

Plataforma de borda Catalyst 8500L

3. Como alternativa ao SMU, execute o script Umbrella DNS Cert Script Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

Opção Somente script para:

Roteador ASR1002-X

Plataforma de borda Catalyst 8300

ISR 1000 Series executando Cisco IOS XE SD-WAN

5. Dispositivos Cisco que são Cisco IOS XE Software Release 17.12.3a no modo de controlador

1. O HOT SMU aplica-se a estas plataformas - "Hitless/Recommended SMU, SSL handshake falha apesar de umbrella_root_ca.ca com certificado mais recente presente no dispositivo":

Roteador de Serviços Integrados série 4221

Plataforma de borda Catalyst 8300

Roteador de Serviços Integrados série 4331

Roteador de Serviços Integrados série 4461

Roteador de Serviços Integrados série 1100

Roteador de Serviços Integrados série 4351

Roteador de Serviços Integrados série 4321

Roteador de Serviços Integrados série 4431

Roteadores virtuais

Roteador de serviços integrados 4451-X

2. Alternativa ao SMU, execute o script Umbrella DNS Cert Script

Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

6. Dispositivos Cisco executando o software Cisco IOS XE versão 17.12.4 no modo controlador

1. O HOT SMU aplica-se a estas plataformas - "Hitless/Recommended SMU, SSL handshake falha apesar de umbrella_root_ca.ca com certificado mais recente presente no dispositivo":

Plataforma de borda Catalyst 8500

Roteador ASR 1001-HX

Roteador de Serviços Integrados série 4331

Roteador de Serviços Integrados série 4321

Roteador de Serviços Integrados série 4221

Roteadores virtuais

Roteador de Serviços Integrados série 4351

Roteador de serviços integrados 4451-X

Roteador de Serviços Integrados série 4461

Plataforma de borda Catalyst 8300

Roteador ASR 1002-HX

Roteador de Serviços Integrados série 4431

Roteador de Serviços Integrados série 1100

Plataforma de borda Catalyst 8500L

2. A alternativa ao SMU é executar o script Umbrella DNS Cert Script Consulte o arquivo readme no GIT para ver as etapas detalhadas de uso do script.

Cuidado: os registros DNS do Umbrella dos dispositivos continuam funcionando desde que não haja reinicialização do dispositivo ou nenhum registro novo.

Cuidado: se a configuração de guarda-chuva for removida e reaplicada, isso acionará o novo registro do DNS de guarda-chuva. Desde que esse processo não seja seguido, o DNS de guarda-chuva funciona corretamente.