Вики IT-KB

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
===== Замена HTTPS сертификата на коммутаторе Broadcom Brocade G620 (Fabric OS 9) =====

{{.:pasted:20250825-094212.png }} Если на оптическом коммутаторе **Broadcom Brocade G620** с прошивкой **Fabric OS** (**FOS**) версии **9.0** ранее был включен **HTTPS** и срок действия сертификата истёк, то при попытке доступа ко встроенному веб-серверу коммутатора мы можем столкнуться с невозможностью подключения (веб-сервер будет сбрасывать соединения). Чтобы исправить эту проблему, можно провести замену сертификата, подключившись к коммутатору по протоколу **SSH**.

Подключившись к FOS по SSH, проверим данные о сертификате, который установлен: 
   

<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt show -cert https</br><font style="color:#B2B2B2;">
Issued To
    countryName               = RU
    stateOrProvinceName       = Komi republic
    localityName              = Vorkuta
    organizationName          = IT Company Ltd.
    organizationalUnitName    = IT Dept
    commonName                = KOM-SW41.holding.com

Issued By
    domainComponent           = com
    domainComponent           = holding
    commonName                = KOM-IT-CA


Period Of Validity
    Begins On                Aug 17 11:31:02 2022 GMT
    Expires On               Aug 17 11:41:02 2025 GMT

...</font></pre></HTML>


Как видно из нашего примера, дата в строке "Expires On" старше текущей, значит сертификат просрочен.


Сгенерируем запрос к корпоративному ЦС.
В ходе выполнения запроса нас предупредят о том, что текущий сертификат будет удалён и попросят подтверждения.
После этого нужно будет ответить на запросы атрибутов сертификата.


<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt generate -csr https -type rsa -keysize 4096 -hash sha256 -years 3</br><font style="color:#B2B2B2;">

Generating a  CSR will automatically do the following:
1. Delete all existing CSRs.
2. Delete existing switch certificate.
3. Reset the certificate filename to none.

Warning:
Key-pair generation is CPU intensive and can cause high CPU usage
Private IPs and hostnames should not be part of SCN and/or SAN per CA/Browser forum.

Continue (yes, y, no, n): [no] <font style="color:#ffffff;">yes</font>

Country Name (2 letter code, eg, US):<font style="color:#ffffff;">RU</font>
State or Province Name (full name, eg, California):<font style="color:#ffffff;">Komi republic</font>
Locality Name (eg, city name):<font style="color:#ffffff;">Vorkuta</font>
Organization Name (eg, company name):<font style="color:#ffffff;">IT Company Ltd.</font>
Organizational Unit Name (eg, department name):<font style="color:#ffffff;">IT Dept</font>
Common Name (Fully qualified Domain Name, or IP address):<font style="color:#ffffff;">KOM-SW41.holding.com</font>

Do you want to continue including IP in the SAN? (yes, y, no, n): [no] <font style="color:#ffffff;">yes</font>
Generating CSR, file name is: 10.1.102.21.csr</font></pre></HTML>


Запрос сгенерирован и сохранён на коммутаторе.
Чтобы просмотреть и скопировать запрос в формате Base64, выполним:

<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt show -csr https -hexdump</br><font style="color:#B2B2B2;">
-----BEGIN CERTIFICATE REQUEST-----
MIIFODCCAyACAQAwgYsxCzAJBgNVBAYTAlJVMRYwFAYDVQQIDA1Lb21pIHJlcHVi
MAsGA1UECwwES29taTEqMCgGA1UEAwwhS09NLUFEMDEtU1c5MzEuYWQuaWVzLWhv
...
YLVBVvCP6VRNSbLHkr7oF2PtdLvQYmZbElciMmHZWK9d4siMotNd4bmCyPZRAlVR
AyK2I35uHLAguPcKu2oV+I3N/neVX+JkfY/ayT22K2l5I+ILpYjARysua8A=
-----END CERTIFICATE REQUEST-----</font></pre></HTML>


Передаём запрос в корпоративный ЦС и в ответ получаем сертификат в формате Base64:

<file txt SW41.pem>-----BEGIN CERTIFICATE-----
MIIGjjCCBHagAwIBAgITSgAABAIOiQA1JecaAQAAAAAEAjANBgkqhkiG9w0BAQsF
ADBMMRMwEQYKCZImiZPyLGQBGRYDY29tMRswGQYKCZImiZPyLGQBGRYLaWVzLWhv
...
F5iaMGLIQb+PjV/QLi3HQKWsXMwvbsRus6fPGrgzqHEWfr9Pvv6yNvICSSOwsM6C
3l5/8mk/kuTa5WXofruEpNta2uV0NgjjqGZ6vNOAvvDmID8th9a80b4y6PNciXwJ
VP4=
-----END CERTIFICATE-----</file>


Нам необходимо сохранить полученный файл сертификата (а также файл сертификата самого ЦС) на каком-то компьютере, к которому можно подключиться с коммутатора по протоколу SSH.

В нашем примере файл сертификата для коммутатора (SW41.pem) и файл сертификата ЦС (CA.pem) сохранены на компьютер с IP адресом 10.1.1.2 в каталоге /tmp

Перейдём обратно на коммутатор и сначала выполним установку сертификата ЦС (пароль пользователя для подключения к удалённой системе по SSH будет запрошен отдельно):

<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt import -ca -server https -protocol scp -ipaddr 10.1.1.2 \
 -remotedir /tmp -certname CA.pem -login petya
</br><font style="color:#B2B2B2;">
petya@10.1.1.2's password: <font style="color:#ffffff;">********</font>
Success: imported https certificate [CA.pem].
Certificate file in configuration has been updated.</font></pre></HTML>


После успешной установки сертификата ЦС выполняем установку сертификата для самого коммутатора:


<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt import -cert https -protocol scp \
 -ipaddr 10.1.1.2 -remotedir /tmp -certname SW41.pem -login petya</br><font style="color:#B2B2B2;">
petya@10.1.1.2's password:<font style="color:#ffffff;">********</font>
Success: imported https certificate [SW41.pem].
Certificate file in configuration has been updated.
Secure http has been enabled.</font></pre></HTML>
 
 
Теперь осталось убедится в том, что при запросе коммутатор выдаёт новый сертификат: 

<HTML><pre style="background:#5a5a62;color:#ffffff;padding:10px;border:0px;">> seccertmgmt show -cert https</br><font style="color:#B2B2B2;">
Issued To
    countryName               = RU
    stateOrProvinceName       = Komi republic
    localityName              = Vorkuta
    organizationName          = IT Company Ltd.
    organizationalUnitName    = IT Dept
    commonName                = KOM-SW41.holding.com

Issued By
    domainComponent           = com
    domainComponent           = holding
    commonName                = KOM-IT-CA


Period Of Validity
    Begins On                Aug 23 13:44:48 2025 GMT
    Expires On               Aug 23 13:54:48 2028 GMT

....</font></pre></HTML>


После этого штатная работа веб-сервера с HTTPS на коммутаторе должна возобновиться.


----
Проверено на следующих конфигурациях:
^ Модель коммутатора ^ Версия Fabric OS ^
| Broadcom Brocade G620 (FOS 9) | 9.0.1c | 

----
{{:user:blogroot.png?50&nolink |}} Автор первичной редакции:\\ [[user:blogroot|Алексей Максимов]] \\ Время публикации: 25.08.2025 12:27

{{tag>Broadcom Brocade G620 FOS "Fabric OS" "FOS 9" SSL HTTPS }}

~~DISCUSSION~~