Etapas para renovar um certificado autoassinado expirado no Cyber Vision Center

Introdução

Este documento descreve as etapas envolvidas para renovar um certificado autoassinado (SSC) expirado em um Cisco Cyber Vision Center. 

Problema

Os certificados utilizados pelo centro para a comunicação com os sensores da interface web (se não houver certificado externo) são gerados na primeira inicialização do centro e são válidos por 2 anos (com um período de carência adicional de 2 meses). Uma vez atingido o tempo, os sensores não poderão mais se conectar ao centro, mostrando os seguintes tipos de erros nos registros:

2023-08-04T09:47:53+00:00 c4819831-bf01-4b3c-b127-fb498e50778d sensorsyncd[1]: 04/08/2023 09:47:53 sensorsyncd WARN failed to connect to center: rabbitmq error: x509: certificate has expired or is not yet valid: current time 2023-08-04T09:47:53Z is after 2023-08-02T10:35:35Z [caller=push.go:42]

Além disso, a conexão com a interface do usuário da Web exibirá um erro ou será bloqueada, dependendo do navegador da Web, se não houver certificado externo em uso.

Solução

Aplicável à versão 4.2.x. Nas versões 4.2.1 e posteriores, isso também pode ser feito na GUI da Web. 

Etapas para gerar novamente o Certificado Central

1. Validar o certificado atual

root@center:~# openssl x509 -subject -startdate -enddate -noout -in /data/etc/ca/center-cert.pem
subject=CN = CenterDemo
notBefore=Aug 8 11:42:30 2022 GMT
notAfter=Oct 6 11:42:30 2024 GMT

2. Gerar um novo certificado
Você deve usar o Nome comum (do campo "subject=CN") obtido na etapa anterior para gerar o novo certificado

root@center:~# sbs-pki --newcenter=CenterDemo
6C89E224EBC77EF6635966B2F47E140C

3. Reinicialize o Centro.

Em implantações com o Local Center e o Global Center, é essencial cancelar o registro dos Centros Locais e reinscrevê-los.

Etapas para regenerar o Certificado do Sensor

Se o certificado do centro tiver expirado, é possível que alguns certificados do sensor estejam prestes a expirar, pois eles também são válidos 2 anos a partir do momento em que o sensor é criado no centro.

• Para sensores instalados com a extensão, a reimplantação usará um novo certificado.
• Para sensores que foram implantados manualmente:

1. Gere um novo certificado no centro com o número de série do sensor:

root@center:~# sbs-pki --newsensor=FCWTEST
326E50A526B23774CBE2507D77E28379

Observe o ID retornado pelo comando

2. Obtenha o ID do sensor para este sensor

root@center:~# sbs-sensor list
c6e38190-f952-445a-99c0-838f7b4bbee6
    FCWTEST (serial number=FCWTEST)
    version:
    status: ENROLLED
    mac:
    ip:
    capture mode: optimal
    model: IOX
    hardware:
    first seen on 2022-08-09 07:23:15.01585+00
    uptime 0
    last update on: 0001-01-01 00:00:00+00​

3. Atualize o banco de dados do sensor com a ID do certificado

root@center:~# sbs-db exec "UPDATE sensor SET certificate_serial='326E50A526B23774CBE2507D77E28379' WHERE id='c6e38190-f952-445a-99c0-838f7b4bbee6'"
UPDATE 1

O número de série do certificado deve ser o valor obtido da primeira etapa e id a identificação do sensor

4. Baixe o pacote de provisionamento para este sensor na GUI da Web

5. Refazer a implantação com este pacote de provisionamento