Solução de problemas de login do Expressway MRA e problema de chamada B2B devido ao vencimento do certificado CA Sectigo em 30 de maio

Introduction

Este documento descreve as soluções para o problema de login MRA (Mobile Remote Access) e chamada B2B (Business-to-Business) devido ao vencimento do certificado CA Sectigo em 30 de maio.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Problema

O pacote de certificado CA Sectigo expirou em 30 de maio, o que causou interrupções na implantação do Expressway/VCS. Você pode enfrentar interrupções de chamada de MRA e B2B devido a falhas de certificado/negociação TLS. A maioria desses problemas são originalmente causados pela expiração do certificado Sectigo. O mesmo foi documentado na assessoria divulgada pelo link Sectigo 
https://support.sectigo.com/Com_KnowledgeDetailPage?Id=kA01N000000rgSZ

Sintomas

A expiração do certificado levará aos seguintes sintomas

- Login no MRA, Chamadas B2B não funcionando
- Clustering down
- Zona de passagem (com falhas de TLS)

- CA Sectigo utilizada para assinar o certificado VCS/Expressway

Trechos de registro de referência

2020-05-31T00:02:55.897-04:00 expe tvcs: Event="Inbound TLS Negotiation Error" Service="SIP" Src-ip="10.106.102.215" Src-port="11239" Dst-ip="10.106.102.222" Dst-port="5061" Detail="No SSL error available, probably remote disconnect" Protocol="TLS" Level="1" UTCTime="2020-05-31 04:02:55,897"

2020-05-31T00:02:55.897-04:00 expe tvcs: UTCTime="2020-05-31 04:02:55,896" Module="developer.ssl" Level="ERROR" CodeLocation="ppcmains/ssl/ttssl/ttssl_openssl.cpp(68)" Method="::TTSSLErrorOutput" Thread="0x7f8dafea0700": TTSSL_continueHandshake: Failed to establish SSL connection iResult="0" error="5" bServer="true" localAddress="['IPv4''TCP''10.106.102.222:5061']" remoteAddress="['IPv4''TCP''10.106.102.215:11239']"

2020-05-31T00:02:55.897-04:00 expe tvcs: UTCTime="2020-05-31 04:02:55,897" Module="network.tcp" Level="DEBUG": Src-ip="10.106.102.215" Src-port="11239" Dst-ip="10.106.102.222" Dst-port="5061" Detail="TCP Connection Closed" Reason="Got EOF on socket"

Solução

Etapa 1. Você precisa baixar o certificado dos links a seguir e substituí-lo por certificados Sectigo Trust expirados em todos os nós de peer. 

https://censys.io/certificates/52f0e1c4e58ec629291b60317f074671b85d7ea80d5b07273463534b32b40234/pem

https://censys.io/certificates/e793c9b02fd8aa13e21c31228accb08119643b749c898964b1746d46c3d4cbd2/pem

Note: Enquanto escreve o documento acima, os links são redirecionados de acordo com a orientação da Sectigo.

Etapa 2. Carregado o certificado baixado no Expressway navegando para Manutenção > Segurança > Certificado CA confiável

Etapa 3. Exclua o certificado CA Sectigo/AddTurst expirado no arquivo confiável de certificados Expressways navegando para Manutenção > Segurança > Certificado CA confiável.

Etapa 4.  Reinicie o Expressway navegando até Manutenção > Opções de reinicialização > Reiniciar

Informações Relacionadas

Solução de problemas de vídeo no Expressway Sectigo Certificate Expiration