تثبيت الشهادة الجذر على حواف vSDWAN

المقدمة

يوضح هذا المستند كيفية تثبيت شهادة جذر في حواف SD-WAN باستخدام أدوات مختلفة.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• شبكة منطقة واسعة معرفة ببرنامج Cisco Catalyst (SD-WAN)
• الشهادات
• بيسك لينكس

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر. 

• أداة التحقق من الصحة Cisco Catalyst SD-WAN 20.6.3
• Cisco vEdge 20.6.3

المشكلة

الشهادة الرقمية هي ملف إلكتروني يعتمد أصالة جهاز أو خادم أو مستخدم من خلال إستخدام التشفير والبنية الأساسية للمفتاح العام (PKI). تساعد مصادقة الشهادة الرقمية المؤسسات على ضمان إمكانية اتصال الأجهزة والمستخدمين الموثوق بهم فقط بشبكاتهم.

يتم توفير هوية موجهات الأجهزة طراز vEdge بواسطة شهادة جهاز موقعة من قبل Avnet، تم إنشاؤها أثناء عملية التصنيع وتم نسخها في شريحة "الوحدة النمطية للنظام الأساسي الموثوق به" (TPM). يتم تحميل شهادات جذر Symantec/DigiCert و Cisco مسبقا في برنامج للثقة لشهادات مكونات التحكم. يجب تحميل الشهادات الجذر الإضافية يدويا، وتوزيعها تلقائيا بواسطة "إدارة SD-WAN"، أو تثبيتها أثناء عملية الإمداد المؤتمتة.

من أكثر المشاكل شيوعا في SD-WAN فشل "إتصالات التحكم" بسبب الشهادة غير الصالحة. يحدث هذا إما لأن الشهادة لم يتم تثبيتها أبدا أو بسبب وجود تلف بها.

للتحقق من صحة مفتاح خطأ اتصال التحكم، أستخدم أمر EXEC show control connections-history.

vEdge # show control connections-history
Legend for Errors
ACSRREJ    - Challenge rejected by peer.               NOVMCFG   - No cfg in vmanage for device.
BDSGVERFL  - Board ID Signature Verify Failure.        NOZTPEN   - No/Bad chassis-number entry in ZTP.
BIDNTPR    - Board ID not Initialized.                 OPERDOWN  - Interface went oper down.
BIDNTVRFD  - Peer Board ID Cert not verified.          ORPTMO    - Server's peer timed out.
BIDSIG    - Board ID signing failure.                  RMGSPR    - Remove Global saved peer.
CERTEXPRD  - Certificate Expired                       RXTRDWN   - Received Teardown.
CRTREJSER  - Challenge response rejected by peer.      RDSIGFBD  - Read Signature from Board ID failed.
CRTVERFL   - Fail to verify Peer Certificate.          SERNTPRES - Serial Number not present.
CTORGNMMIS - Certificate Org name mismatch.            SSLNFAIL  - Failure to create new SSL context.
DCONFAIL   - DTLS connection failure.                  STNMODETD - Teardown extra vBond in STUN server mode.
DEVALC     - Device memory Alloc failures.             SYSIPCHNG - System-IP changed
DHSTMO     - DTLS HandShake Timeout.                   SYSPRCH   - System property changed
DISCVBD    - Disconnect vBond after register reply.    TMRALC    - Timer Object Memory Failure.
DISTLOC    - TLOC Disabled.                            TUNALC    - Tunnel Object Memory Failure.
DUPCLHELO  - Recd a Dup Client Hello, Reset Gl Peer.   TXCHTOBD  - Failed to send challenge to BoardID.
DUPSER     - Duplicate Serial Number.                  UNMSGBDRG - Unknown Message type or Bad Register msg.
DUPSYSIPDEL- Duplicate System IP.                      UNAUTHEL  - Recd Hello from Unauthenticated peer.
HAFAIL     - SSL Handshake failure.                    VBDEST    - vDaemon process terminated.
IP_TOS     - Socket Options failure.                   VECRTREV  - vEdge Certification revoked.
LISFD      - Listener Socket FD Error.                 VSCRTREV  - vSmart Certificate revoked.
MGRTBLCKD  - Migration blocked. Wait for local TMO.    VB_TMO    - Peer vBond Timed out.
MEMALCFL   - Memory Allocation Failure.                VM_TMO    - Peer vManage Timed out.
NOACTVB    - No Active vBond found to connect.         VP_TMO    - Peer vEdge Timed out.
NOERR      - No Error.                                 VS_TMO    - Peer vSmart Timed out.
NOSLPRCRT  - Unable to get peer's certificate.         XTVMTRDN  - Teardown extra vManage.
NTPRVMINT  - Not preferred interface to vManage.       XTVSTRDN  - Teardown extra vSmart.
STENTRY    - Delete same tloc stale entry.

PEER     PEER     PEER             SITE        DOMAIN PEER             PRIVATE  PEER             PUBLIC                                   LOCAL      REMOTE     REPEAT
TYPE     PROTOCOL SYSTEM IP        ID          ID     PRIVATE IP       PORT     PUBLIC IP        PORT    LOCAL COLOR      STATE           ERROR      ERROR      COUNT DOWNTIME
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
vbond    dtls     -                0           0      10.10.10.1     12346    10.10.10.1     12346   public-internet  tear_down          NOERR      CRTVERFL     393   2024-01-31 T17:19:15-0500
vbond    dtls     -                0           0      10.10.10.2     12346    10.10.10.2     12346   public-internet  tear_down          NOERR      CRTVERFL     399   2024-01-31 T17:18:56-0500

بعض الأسباب الشائعة لتسمية الخطأ CRTVERFL هي:

• وقت انتهاء صلاحية الشهادة.
• المرجع المصدق الجذر مختلف.
  
  • ما إذا كان يتم تحديث المرجع المصدق الجذر في وحدات التحكم أم لا.
  • يتم إستخدام مرجع الشهادة (CA) المختلف بواسطة Cisco وتحتاج الأجهزة إلى التثبيت اليدوي للمرجع المصدق الجذر.
• تغيير المرجع المصدق في التغشية.

ملاحظة: للحصول على مزيد من المعلومات حول أخطاء إتصالات التحكم، قم بزيارة أستكشاف أخطاء إتصالات التحكم في SD-WAN وإصلاحها.

يجب أن يكون ملف المرجع المصدق الجذر متماثلا تماما عبر كل المكونات في التغشية. هناك طريقتان للتحقق من صحة ملف المرجع المصدق المستخدم غير صحيحة

1. راجع حجم الملف، وهذا يساعد في الحالات التي تم فيها تحديث المرجع الجذري.

vBond:/usr/share/viptela$ ls -l 
total 5 
-rw-r--r-- 1 root root   294 Jul 23 2022 ISR900_pubkey.der 
-rw-r--r-- 1 root root  7651 Jul 23 2022 TPMRootChain.pem 
-rw-r--r-- 1 root root 16476 Jul 23 2022 ViptelaChain.pem 
-rwxr-xr-x 1 root root 32959 Jul 23 2022 ios_core.pem 
-rw-r--r-- 1 root root 24445 Dec 28 13:59 root-ca.crt 

vEdge:/usr/share/viptela$ ls -l 
total 6                                    
drwxr-xr-x 2 root root   4096 Aug 28  2022 backup_certs                                                                                             
-rw-r--r-- 1 root root   1220 Dec 28 13:46 clientkey.crt                                                                                            
-rw------- 1 root root   1704 Dec 28 13:46 clientkey.pem           
-rw------- 1 root root   1704 Dec 28 13:46 proxy.key                                                                                                
-rw-r--r-- 1 root root      0 Aug 28  2022 reverse_proxy_mapping                                                                                    
-rw-r--r-- 1 root root 23228 Aug 28 2022 root-ca.crt                                                                                              

2. الطريقة الثانية والأكثر موثوقية للتحقق من أن الملف هو نفس الملف المصدر تماما وذلك باستخدام الأمر md5sum root-ca.crt vshell. وبمجرد توفير MD5، قارن نتيجة كل من وحدة التحكم في المكونات وجهاز الحافة.

vBond:/usr/share/viptela$ md5sum root-ca.crt 
a4f945b9a1f50f1fa68d539dcf2e54f2 root-ca.crt 

vEdge:/usr/share/viptela$ md5sum root-ca.crt 
b36358d01b36254a54db2f8db2266ced root-ca.crt 

ملاحظة: بما أن الأمر md5sum root-ca.crt vshell يتم إستخدامه للتحقق من تكامل الملفات، حيث أن أي تغيير فعليا في ملف ما يتسبب في أختلاف تجزئة MD5.

الحل

يمكن تثبيت سلسلة الشهادات الجذر للجهاز باستخدام أدوات متعددة. هناك طريقتان لتثبيته باستخدام أوامر Linux.

قم بإنشاء root-ca باستخدام أمر Linux CAT في vShell

ملاحظة: ينطبق هذا الإجراء على ملفات classe التي ليس لها خطوط فارغة داخل المحتوى، للحالات التي بها خطوط فارغة تستخدم إجراء محرر Linux VI.

الخطوة 1. الحصول على ملف root-ca.crt من أداة التحقق من الصحة ونسخه.

الجذر ca هو نفسه عبر جميع وحدات التحكم ويمكن نسخه من أي منها في المسار /usr/share/viptela/.

vBond# vshell
vBondvBond:~$ cat /usr/share/viptela/root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv  
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE----- 

الخطوة 2. قم بإنشاء ملف root-ca.crt في vEdge.

من vshell، انتقل إلى /home/admin أو /home/<username> وأنشئ ملف root-ca.crt.

vEdge# vshell
vEdge:~$ cat <<"" >> root-ca.crt
> -----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
> 
vEdge:~$  

الخطوة 3. تحقق من اكتمالها.

vEdge:~$ cat root-ca.crt
-----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
vEdge:~$ 

ملاحظة: من المهم التحقق من اكتمال الملف، إن لم يكن كاملا، احذف الملف باستخدام الأمر rm root-ca.crt vshell وقم بإنشائه مرة أخرى من الخطوة 2.

قم بالخروج من Vshell وتابع مع المقطع.

vEdge:~$ exit

إنشاء مرجع مصدق الجذر باستخدام محرر نص VI في vShell

الخطوة 1. الحصول على ملف root-ca.crt من أداة التحقق من الصحة ونسخه.

الجذر ca هو نفسه عبر جميع وحدات التحكم ويمكن نسخه من أي منها في المسار /usr/share/viptela/.

vBond# vshell
vBond:~$ cat /usr/share/viptela/root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv 
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE-----

الخطوة 2. قم بإنشاء ملف root-ca.crt في vEdge.

من vshell، انتقل إلى /home/admin أو /home/<username> وأنشئ ملف root-ca.crt.

vEdge# vshell
vEdge:~$ cd /usr/share/viptela/
vEdge:~$ pwd
/home/admin
vEdge:~$ vi root-ca.crt 

بمجرد النقر فوق إدخال، تظهر مطالبة المحرر.

الخطوة 3. إدخال في وضع الإدراج

• اكتب: وألصق محتوى الشهادة من الخطوة 1. قم بالتمرير لأسفل وقم بالتحقق من صحة الشهادة.

الخطوة 4. افلت من وضع الإدراج واحفظ الشهادة.

• اضغط على مفتاح ESC.
• اكتب :wq! يتبعه إدخال لحفظ التغييرات والخروج من المحرر.
  

vEdge:/usr/share/viptela$ cat root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE----- 

الخطوة 5. تحقق من اكتمالها.

vEdge:~$ cat root-ca.crt
-----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
vEdge:~$ 

ملاحظة: من المهم التحقق من اكتمال الملف، إن لم يكن كاملا، احذف الملف باستخدام الأمر rm root-ca.crt vshell وقم بإنشائه مرة أخرى من الخطوة 2.

قم بالخروج من Vshell وتابع مع المقطع.

vEdge:~$ exit

تثبيت الشهادة

الخطوة 1. قم بتثبيت شهادة المرجع المصدق الجذر باستخدام الأمر request root-cert-series install <path>.

vEdge# request root-cert-chain install /home/admin/root-ca.crt
Uploading root-ca-cert-chain via VPN 0
Copying ... /home/admin/PKI.pem via VPN 0
Updating the root certificate chain..
Successfully installed the root certificate chain

الخطوة 2. تحقق من تثبيته باستخدام أمر show control local properties.

vEdge# show control local-properties 
personality vedge 
organization-name organization-name
root-ca-chain-status Installed 

certificate-status Installed 
certificate-validity Valid 
certificate-not-valid-before Apr 11 17:57:17 2023 GMT 
certificate-not-valid-after Apr 10 17:57:17 2024 GMT