Habilitar la renovación de certificados de controladores SD-WAN mediante el método manual

Introducción

Este documento describe los pasos para renovar el certificado SD-WAN en los controladores a través del método manual o de Cisco.

Métodos disponibles

Hay cuatro opciones diferentes disponibles para la Autorización de certificado del controlador.

• Cisco (recomendado): Proceso semiautomatizado que utiliza el portal Plug and play de Cisco (PnP) para firmar la CSR generada por vManage y descargarla e instalarla automáticamente.
• Manual: firma manual de certificados a través de Cisco PnP.
• Symantec: firma manual de certificado de terceros a través de Symantec/Digicert.
• Certificado raíz de empresa: firma manual del certificado a través de una autoridad de certificación raíz (CA) privada.

Este documento describe solamente los pasos para los métodos Cisco (Recomendado) y Manual.

---

Precaución: los certificados incluidos en este documento no están relacionados con el certificado web para vManage.

Requirements

• Un PC/portátil.
• Una cuenta Netadmin para la GUI de vManage y para cada controlador (vManage, vSmart y vBond).
• Acceso al servidor de la CA.
• Para Cisco (recomendado) o Manual, una cuenta/contraseña válida para el portal PnP.
• Para Cisco (recomendado), vManage debe tener acceso a Internet.
• Todos los controladores necesitan un servidor NTP válido y/o todos ellos necesitan tener la fecha y hora correctas.
• Comunicación entre vBond y vSmart con vManage.

---

Nota: La instalación del certificado en vManage no afectaría al plano de control ni al plano de datos. Para el certificado en vSmart, las conexiones de control pueden verse afectadas. El plano de control continúa funcionando debido al temporizador OMP Graceful. Para realizar un cambio de certificado, debe programar una ventana de mantenimiento para la actividad.

Proceso de renovación 

Este es un procedimiento de alto nivel:

1.  Identifique la opción Autorización de certificado de controlador que se utiliza en la GUI de vManage.
2. Genere una nueva CSR mediante la GUI de vManage.
3. Cree un nuevo certificado.
4. Descargue el certificado.
5. Instale el certificado.

Cisco (recomendado)

1. Vaya a vManage > Administration > Settings > Certificate Authority Server .

• Compruebe que está seleccionada la opción correcta.
• Seleccione la duración del certificado.

2. Desplácese hacia abajo hasta Smart Account Credentials e introduzca un usuario/contraseña válido. Las credenciales deben tener acceso a la cuenta inteligente en la que está configurada la superposición de SD-WAN, como se muestra en la imagen.

3. Vaya a vManage > Configuration > Certificates > Controllers.

• Seleccione los puntos suspensivos (...) en el controlador (vBond, vSmart o vManage).
• Seleccione Generar CSR.

4. Se requieren de cinco a veinte minutos para que el proceso termine.

Verifique que la instalación sea correcta en la GUI vManage > Configuration > Certificates > Controllers.

Manual (PnP)

1. Vaya a vManage > Administration > Settings > Certificate Authority Server .

• Compruebe que está seleccionada la opción correcta.

2. Vaya a vManage > Configuration > Certificates > Controllers.

• Seleccione los puntos suspensivos (...) del controlador (vBond, vSmart o vManage).
• Seleccione Generar CSR.
• Copie y guarde todo el texto en un archivo temporal. 

3. Acceda al portal PnP, seleccione la superposición de SD-WAN y navegue hasta los certificados, como se muestra en la imagen.

4. En la sección Certificados, haga clic en Generar un certificado nuevo e introduzca toda la información.

• En Solicitud de firma de certificado, ingrese el CSR generado en el paso 2.

5. Haga clic en Submit y Done. 

6. Después de unos minutos, el certificado está listo para descargar.

• Descargar el archivo del certificado
• Acceder a la GUI de vManage
• Seleccione instalar certificado en vManage > Certificate > Controllers.
• Seleccione el certificado en la ventana emergente.

Nota Si no puede ver o seleccionar el certificado, asegúrese de elegir la opción Todos los archivos bajo formato. Si el cuadro de formato no está visible, utilice otro explorador Web.

 7. El certificado ya está instalado.

Problemas Comunes

Discordancia de tiempo

Los controladores alojados en la nube de Cisco tienen un servidor NTP configurado.

Si el NTP no está presente debido a un cambio de configuración, los controladores pueden tener diferentes tiempos y esto puede interferir con la instalación del certificado o la generación de CSR.

Asegúrese de que los controladores tienen el mismo tiempo. 

No se puede establecer la conexión

Los controladores SD-WAN deben ser accesibles a través de la interfaz configurada bajo VPN0.

Verifique que haya comunicación de Capa 3 y Capa 4. 

Podemos verificar los registros del controlador a través de la consola para obtener más detalles sobre el problema.