Habilitar renovação de certificado de controladores SD-WAN via método manual

Introdução

Este documento descreve as etapas para renovar o certificado SD-WAN nos controladores através do método manual ou da Cisco.

Métodos disponíveis

Há quatro opções diferentes disponíveis para a Autorização do Certificado do Controlador.

• Cisco (Recomendado) - Processo semiautomatizado que usa o portal Cisco Plug and Play (PnP) para assinar o CSR gerado pelo vManage e baixá-lo e instalá-lo automaticamente.
• Manual - Sinal de certificado manual através do Cisco PnP.
• Symantec - Assinatura manual de certificado de terceiros pela Symantec/Digicert.
• Certificado Raiz Corporativo - Assinatura manual do certificado por meio de uma CA (Autoridade de Certificação) Raiz privada.

Este documento descreve apenas as etapas dos métodos Cisco (Recomendado) e Manual.

---

Cuidado: os certificados cobertos por este documento não estão relacionados ao Certificado da Web para o vManage.

Requisitos

• Um PC/notebook.
• Uma conta Netadmin para a GUI do vManage e para cada controlador (vManage, vSmart e vBond).
• Acesso ao servidor CA.
• Para Cisco (recomendado) ou Manual, uma conta/senha válida para o portal PnP.
• Para a Cisco (recomendado), o vManage deve ter acesso à Internet.
• Todos os controladores precisam de um servidor NTP válido e/ou todos eles precisam ter a data e a hora corretas.
• Comunicação entre o vBond e o vSmart para o vManage.

---

Observação: a instalação do certificado no vManage não afetaria seu plano de controle ou de dados. Para o certificado no vSmart, as conexões de controle podem ser afetadas. O plano de controle continua a funcionar devido ao temporizador de graça OMP. Para executar uma alteração de certificado, você deve agendar uma janela de manutenção para a atividade.

Processo de renovação 

Este é um procedimento de alto nível:

1.  Identifique a opção Controller Certificate Authorization em uso na GUI do vManage.
2. Gere um novo CSR por meio da GUI do vManage.
3. Crie um novo Certificado.
4. Faça o download do certificado.
5. Instale o certificado.

Cisco (recomendado)

1. Navegue até vManage > Administration > Settings > Certificate Authority Server.

• Verifique se a opção correta está selecionada.
• Selecione a duração do certificado.

2. Role para baixo até Smart Account Credentials e introduza User/Password válido. As credenciais devem ter acesso à Smart Account onde a sobreposição de SD-WAN está configurada, como mostrado na imagem.

3. Navegue até vManage > Configuration > Certificates > Controllers.

• Selecione as reticências (...) no controlador (vBond, vSmart ou vManage).
• Selecione Gerar CSR.

4. São necessários de cinco a vinte minutos para que o processo seja concluído.

Verifique se a instalação estava correta na GUI vManage > Configuration > Certificates > Controllers.

Manual (PnP)

1. Navegue até vManage > Administration > Settings > Certificate Authority Server

• Verifique se a opção correta está selecionada.

2. Navegue até vManage > Configuration > Certificates > Controllers.

• Selecione as reticências (...) no controlador (vBond, vSmart ou vManage).
• Selecione Gerar CSR.
• Copie e salve todo o texto em um arquivo temporário. 

3. Acesse o portal PnP, selecione a sobreposição de SD-WAN e navegue até os certificados, conforme mostrado na imagem.

4. Na seção Certificados, clique em Gerar um novo certificado e insira todas as informações.

• Em Certificate Signing Request, insira o CSR gerado na etapa 2.

5. Clique em Enviar e Concluído. 

6. Após alguns minutos, o certificado está pronto para ser baixado.

• Baixar o arquivo de certificado
• Acesse a GUI do vManage
• Selecione instalar certificado em vManage > Certificate > Controllers.
• Selecione o certificado na janela pop.

Observação Se você não conseguir ver ou selecionar o certificado, escolha Todos os arquivos na opção de formato. Se a caixa de formatação não estiver visível, use um navegador da Web diferente.

 7. O certificado agora está instalado.

Problemas comuns

Incompatibilidade de horário

Os controladores hospedados em nuvem da Cisco têm um servidor NTP configurado.

Se o NTP não estiver presente devido a uma alteração de configuração, os controladores podem ter horários diferentes e isso pode interferir na instalação do certificado ou na geração do CSR.

Certifique-se de que os controladores tenham o mesmo tempo. 

Não é possível estabelecer conexão

Os controladores SD-WAN devem estar acessíveis através da interface configurada em VPN0.

Verifique se há comunicação das Camadas 3 e 4. 

Podemos verificar os registros do controlador via console para obter mais detalhes sobre o problema.