更新DNS Umbrella證書以在2024年10月正常工作

下載選項

PDF (390.7 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (81.7 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (72.4 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2024 年 10 月 14 日

文件 ID:222467

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文描述如何解決SD-WAN路由器使用過期證書而非新證書的DNS Umbrella問題。

背景資訊

Cisco Catalyst SD-WAN路由器使用API金鑰/金鑰身份驗證方法註冊到Cisco Umbrella DNS的數位證書已於2024年9月30日到期。證書過期的Cisco SD-WAN路由器將無法向Cisco Umbrella DNS服務註冊。此問題不適用於Umbrella DNS註冊的基於令牌的身份驗證。

有關詳細資訊，請參閱現場通知FN74166 中的Cisco Umbrella DNS證書到期日期（2024年9月30日）。

具有過期umbrella根CA證書的受影響SD-WAN裝置無法與Cisco Umbrella DNS建立安全連線以進行裝置註冊。由於裝置未在Umbrella DNS服務中註冊，因此SD-WAN邊緣不會將終端使用者DNS請求重定向到Umbrella域伺服器以實施DNS安全策略。來自SD-WAN邊緣後方終端使用者的DNS請求不會被丟棄，並且由終端使用者裝置上配置的DNS域伺服器提供服務。

缺陷資訊

此憑證已作為Cisco錯誤ID CSCwi43360的一部分更新 :證書將於2024年9月到期，用於向Umbrella雲註冊DNS安全。（已在17.9.6、17.12.4、17.15.1a中修正）

即使正在更新憑證，SSL交握也未能建立，這作為Cisco錯誤ID CSCwm73365的一部分處理 :儘管umbrella_root_ca.ca和裝置上存在最新證書，但是SSL握手仍失敗。（已在17.6.8a中修正）

已釋放已固定

CCO版本

版本

17.6.8安

工程特別版

版本	17.09.05a.0.51
版本	17.12.04.0.31

修正表

版本	思科建議的補救步驟
17.3.x/17.4.x/17.5.x	遵循第1節中的步驟。在控制器模式下運行Cisco IOS XE軟體版本17.5.x或更低版本的Cisco裝置
17.6.1-17.6.7、17.7.x、17.8.x	請按照第2節中的步驟操作。在控制器模式下運行Cisco IOS XE軟體版本17.6.x到17.8.x的Cisco裝置
17.6.8安	此版本修復了Umbrella DNS證書過期問題。
17.9.1 - 17.9.4、17.10.x、17.11.x、17.12.1-17.12.2、17.13.x、17.14.x、17.15.1a	使用Umbrella DNS證書指令碼將證書自動複製到邊緣裝置。有關運行指令碼的步驟，請參閱GIT上的自述檔案。
17.9.5安	請按照第3節中的步驟操作
17.9.6	請按照第4節中的步驟操作
17.12.3安	請按照第5節中的步驟操作
17.12.4	請按照第6節中的步驟操作

1.在控制器模式下運行Cisco IOS XE軟體版本17.5.x或更低版本的Cisco裝置

使用補救選項安裝新的Umbrella RootCA證書。

自動

對於SD-WAN Manager 20.9.1或更高版本，請使用Umbrella DNS證書指令碼從vManage自動將證書複製到邊緣裝置。
Umbrela DNS證書指令碼
請參閱GIT上的自述檔案，瞭解使用指令碼的詳細步驟。
將RootCA證書複製到裝置後，重新載入路由器以完成安裝過程。

手動

從New Umbrella Certificate網站下載新的未過期證書，並將其放在能夠訪問SD-WAN重疊中受影響路由器的裝置上。
輸入Linux scp命令或類似機制，執行從下載裝置到每個受影響路由器的安全檔案複製。
舉例來說：

scp ./isrgrootx1.pem <使用者名稱>@<EdgeIP>:trustidrootx3_ca.ca

用管理員使用者替換<Username>，用受影響路由器的IP地址替換<EdgeIP>。
將RootCA證書複製到裝置後，重新載入路由器以完成安裝過程。

2.在控制器模式下運行Cisco IOS XE軟體版本17.6.x到17.8.x的Cisco裝置

使用補救選項安裝新的Umbrella RootCA證書。

自動

對於SD-WAN Manager 20.9.1或更高版本，請使用Umbrella DNS證書指令碼從vManage自動將證書複製到邊緣裝置。
Umbrella DNS證書指令碼
請參閱GIT上的自述檔案，瞭解使用指令碼的詳細步驟。
將RootCA證書複製到裝置後，重新載入路由器以完成安裝過程。

手動

從New Umbrella Certificate網站下載新的未過期證書，並將其放在能夠訪問SD-WAN重疊中受影響路由器的裝置上。
輸入Linux scp命令或類似機制，從下載裝置向每個受影響的路由器執行安全檔案複製。
舉例來說：

scp ./isrgrootx1.pem admin@<EdgeIP>:trustidrootx3_ca_092024.ca

用受影響路由器的IP地址替換<EdgeIP>。
將RootCA證書複製到裝置後，重新載入路由器以完成安裝過程