Ablauf und Lösung des Dell Networking OS10-Zertifikats

Bestimmte Versionen von OS10 (siehe Betroffene Softwareversionen) enthalten ein Standardzertifikat, das für die VLT-Peer-Einrichtung und SFS-Clusterbildung verwendet wird. Dieses Standardzertifikat läuft am 27. Juli 2021 ab. Nach dem Ablauf treten Probleme mit der Erreichbarkeit des Datenverkehrs auf, wenn einer dieser Switches einen nachfolgenden Switchneustart, Link flap, eine vom Operator ausgelöste Konfigurationsänderung, vMotion und andere Netzwerkereignisse aufweist. Der Zertifikatablauf enthält keine entsprechenden Meldungen in Syslog, Traps oder auf der Benutzeroberfläche.

Betroffene Softwareversionen nach Modell:
 

OS10-Version	Modell
10.3.2ER3P1	Nur S5148F
10.4.0E R3SP2 bis 10.4.0E. R4SP2	Nur MX9116 und MX5108
10.4.1.4 bis 10.4.3.6P5	Alle OS10-Modelle (inkl. MX9116, MX5108 und S5148F)
10.5.0.0 bis 10.5.0.7P3	Alle OS10-Modelle (inkl. MX9116 und MX5108)

Lösung

HINWEIS: Im beigefügten Technischen Datenblatt finden Sie eine PDF-Version dieser Lösung, die Sie dem Techniker zur Verfügung stellen können, der das Upgrade durchführt.

HINWEIS: Isilon-Back-end-Ethernetbenutzer sollten die in diesem Artikel beschriebenen Verfahren nicht befolgen. Für Isilon lesen Benutzer den KB-Artikel 185548: Ablauf des Dell Switch-Zertifikats auf Dell Z9100-ON-Switches, die für Isilon-Back-end-Ethernet verwendet werden , für Details zu dem Problem. Der Artikel erfordert eine Kundenanmeldung.

HINWEIS:  Benutzer der ECS Gen3-Appliance sollten die in diesem Artikel beschriebenen Verfahren nicht befolgen. Für ECS lesen Benutzer den KB-Artikel 185691: DTA 185691: ECS: Der Ablauf des Dell OS10-Switch-X.509v3-Sicherheitszertifikats auf ECS-Front-End- und Back-End-Switches kann zur Nichtverfügbarkeit von Daten führen, um Details zu dem Problem zu erhalten. Der Artikel erfordert eine Kundenanmeldung.

HINWEIS: Benutzer betroffener Versionen von 10.3.2.x bis 10.4.2.x, Zertifikataktualisierung ist nicht verfügbar. Benutzer müssen ein Upgrade auf 10.4.3.0 oder höher (10.5.0.x oder höher für MX) durchführen und der folgenden Tabelle folgen.   

HINWEIS:  Wenn für PowerEdge MX-Benutzer auf 10.4.0E(R3SP2)-10.4.0E(R4SP2) ein Upgrade auf die neueste Baseline bis zum 27. Juli 2021 nicht möglich ist, wenden Sie sich an den technischen Support von Dell, um Unterstützung bei der Aktualisierung des Standardzertifikats zu erhalten.

HINWEIS: Die folgenden OS10-Versionsversionen verfügen über das neue Standardzertifikat, das dieses Zertifikatablaufproblem behebt:
10.4.3.7
10.5.0.9
10.5.1.9
10.5.2.6

ALERT: Für Benutzer, die sich für ein Upgrade auf die neueste Firmware entscheiden, müssenSie den Upgradepfad befolgen, der im Abschnitt Vorbereiten eines Upgrades des Dell EMC SmartFabric OS10 Installations-, Upgrade- und Downgrade-Handbuchs auf unserer Support-Website angegeben ist.

Für die Versionen 10.4.3.0 bis 10.5.0.7P3 müssen Benutzer die Lösung gemäß dieser Tabelle befolgen, um Netzwerkprobleme aufgrund des Standardmäßigen Zertifikatablaufs zu vermeiden:       
 

Bereitstellungskategorie	Empfohlene Lösung	Alternativ können Sie ein Upgrade durchführen.
Nicht-MX-Switche im Nicht-VLT-Nicht-SFS-Modus	Es ist keine Maßnahme erforderlich.	Es ist keine Maßnahme erforderlich.
MX- SFS Mode	Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat. Damit das neue Standardzertifikat wirksam wird, muss Folgendes durchgeführt werden: - SfS primary neu starten: Starten Sie in der Multicluster-Bereitstellung auch einen der VLT-Peers in jedem VLT-Paar neu.	Upgrade auf >=10.5.1.7 vor dem 27. Juli 2021 Befolgen Sie den Upgradepfad im Benutzerhandbuch für Dell EMC OpenManage Enterprise-Modular Edition für PowerEdge MX7000-GehäuseMX7000-Lösungs-Baselines – Seite 15-17 zeigt die kompatiblen Komponenten-Firmware-Baselines an. OS10 Firmware Update Matrix – Seite 22 beschreibt den Upgradepfad für OS10-Switches.
MX-Full-Switch-Modus
Switches im VLT-Nicht-SFS-Modus	Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat. Damit das neue Standardzertifikat wirksam wird, muss auf der VLTi-Schnittstelle/dem VLTi-Link des primären VLT-Switches "shut" und "no shut" durchgeführt werden.	Upgrade auf Version >=10.5.1.0, vor dem 27. Juli 2021
VxRail-SFS – einzelnes Rack	Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat. Damit das neue Standardzertifikat wirksam wird, ist es EIN MUSS: - SfS primary neu starten: Starten Sie in der Multicluster-Bereitstellung auch einen der VLT-Peers in jedem VLT-Paar neu.	Upgrade auf Version >= 10.5.2.2, vor dem 27. Juli2021
VxRail-SFS– Multi-Rack
S5148	Führen Sie ein Upgrade auf 10.4.3.x durch und aktualisieren Sie dann das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat. Aktualisieren Sie das Standardzertifikat mithilfe der von Dell bereitgestellten Skripte auf allen Nodes auf ein neues Standardzertifikat. Damit das neue Standardzertifikat wirksam wird, muss auf der VLTi-Schnittstelle/dem VLTi-Link des primären VLT-Switches "shut" und "no shut" durchgeführt werden.	Identisch mit empfohlener Auflösung.

HINWEIS: Ein Wartungsfenster ist für VLTi-Link-Flap oder Switch-Neustart erforderlich, da dies den Netzwerkdatenverkehr möglicherweise unterbrechen kann. Bei der Berechnung Ihres Wartungszeitfensters:       

• Lassen Sie für das Skript 3 bis 5 Minuten pro Gerät zu. Während das Skript ausgeführt wird, wird der Datenverkehr nicht beeinträchtigt.
• Schätzen Sie für das Upgrade von OS10 schätzungsweise 30 Minuten pro Node, wenn Sie von einer Version zur nächsten wechseln.

Das Skriptpaket "Dell Networking Default X.509 Certificate Update" ist auf Dell Digital Locker mit Ihrer OS10-Berechtigung verfügbar. Der Dateiname des Skriptpakets ist "cert_upgrade_script" und enthält eine README-Datei mit detaillierten Anweisungen zur Ausführung der Skripte. Klicken Sie auf einen Schalter in Ihrem DDL-Konto und navigieren Sie dann zu den verfügbaren Downloads, um das Skriptpaket anzuzeigen.

Weitere Informationen zur Anmeldung und zum Herunterladen des Skripts finden Sie unter Dell Networking How to Download OS10 Cert_Upgrade_Script from Dell Digital Locker
Weitere Schritt-für-Schritt-Details zum Abschließen der Zertifikataktualisierung finden Sie in diesen Artikeln:

Wählen Sie ein

Dell Networking OS10 How to Run Certificate Update from Linux

Dell Networking OS10 How to Run Certificate Update Directly from the OS10 Switch (Anleitung zum Ausführen der Zertifikataktualisierung direkt vom OS10-Switch

) aus.
Dell Networking OS10 Anleitung zum Ausführen der Zertifikataktualisierung von Windows mit Python

Hier ist ein Video, das den Prozess zum Aktualisieren des Zertifikats mithilfe eines Python-Skripts zeigt.

HINWEIS: Je nachdem, wo Sie Ihre Skriptdatei gespeichert haben, haben Sie möglicherweise einen anderen Dateipfad als in diesem Video verwendet.





VORSICHT: Alle Switches in einem Cluster oder VLT müssen über dasselbe Zertifikat verfügen, das für die Cluster- oder VLT-Kommunikation installiert ist. Es ist zwingend erforderlich, das Skript auf allen Nodes im Cluster und VLT während desselben Wartungsfensters auszuführen.

Beachten Sie nach dem Aktualisieren des Standardzertifikats auf den Switches Folgendes:      

• Wenn Sie eine andere Softwareversion mit dem alten Standardzertifikat zurückstufen, tritt das Problem möglicherweise erneut auf.
• Wenn Sie auf einer anderen Partition starten, die noch über ein altes Standardzertifikat verfügt, tritt das Problem möglicherweise erneut auf.
• Wenn Sie einen Switch mithilfe des alten Standardzertifikats durch eine Version ersetzen, tritt das Problem möglicherweise erneut auf.

Sollte eines dieser Szenarien auftreten, sollten Sie Folgendes tun:     

•   Verwenden Sie das Skript, um das Standardzertifikat erneut zu aktualisieren.

Warnmeldung: Das Zertifikat wird nicht verwendet, wenn alle Systeme in einem Cluster 10.5.1.0 oder höher verwenden. Wenn das Cluster mit gemischten Versionen von OS10 mit einigen Nodes mit 10.5.0.x und niedriger ausgeführt wird. Dann müssen Systeme, auf denen 10.5.1.x oder höher ausgeführt wird, das Skript ausführen, um das neue Zertifikat für die Nodes zu installieren, um ein Cluster zu bilden.

Bei einigen neuen Switches, die mit 10.4.3 oder 10.5.0 ausgeliefert werden, ist bereits ein neues Standardzertifikat installiert. Darüber hinaus ist bei einigen Serviceaustauschswitchen ein neues Standardzertifikat installiert. Diese Einheiten sind durch einen Aufkleber auf der Einheit mit der Aufschrift "Cert Updated" gekennzeichnet.

So verwenden Sie einen solchen Switch im VLT- oder SFS-Cluster  

• Auf allen Switches im Cluster muss das neue Standardzertifikat installiert sein.