在SDWAN vEdge上安裝根證書

簡介

本文說明如何使用不同工具在SD-WAN vEdge中安裝根證書。

必要條件

需求

思科建議您瞭解以下主題：

• Cisco Catalyst軟體定義廣域網路(SD-WAN)
• 憑證
• 基本Linux

採用元件

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。 

• Cisco Catalyst SD-WAN驗證器20.6.3
• Cisco vEdge 20.6.3

問題

數位證書是一種電子檔案，通過使用密碼學和公鑰基礎設施(PKI)來認證裝置、伺服器或使用者的真實性。數位證書身份驗證可幫助組織確保只有受信任的裝置和使用者才能連線到其網路。

vEdge硬體路由器的身份由Avnet簽名的裝置證書提供，該證書在製造過程中生成，並燒錄到可信平台模組(TPM)晶片中。Symantec/DigiCert和Cisco根證書已預載入到軟體中，以便信任控制元件的證書。其他根證書必須手動載入、由SD-WAN Manager自動分發或在自動配置過程中安裝。

SD-WAN中最常見的問題之一是由於無效證書導致的控制連線故障。發生這種情況的原因可能是證書從未安裝，或者證書已損壞。

若要驗證控制連線錯誤圖例，請使用EXEC命令show control connections-history。

vEdge # show control connections-history
Legend for Errors
ACSRREJ    - Challenge rejected by peer.               NOVMCFG   - No cfg in vmanage for device.
BDSGVERFL  - Board ID Signature Verify Failure.        NOZTPEN   - No/Bad chassis-number entry in ZTP.
BIDNTPR    - Board ID not Initialized.                 OPERDOWN  - Interface went oper down.
BIDNTVRFD  - Peer Board ID Cert not verified.          ORPTMO    - Server's peer timed out.
BIDSIG    - Board ID signing failure.                  RMGSPR    - Remove Global saved peer.
CERTEXPRD  - Certificate Expired                       RXTRDWN   - Received Teardown.
CRTREJSER  - Challenge response rejected by peer.      RDSIGFBD  - Read Signature from Board ID failed.
CRTVERFL   - Fail to verify Peer Certificate.          SERNTPRES - Serial Number not present.
CTORGNMMIS - Certificate Org name mismatch.            SSLNFAIL  - Failure to create new SSL context.
DCONFAIL   - DTLS connection failure.                  STNMODETD - Teardown extra vBond in STUN server mode.
DEVALC     - Device memory Alloc failures.             SYSIPCHNG - System-IP changed
DHSTMO     - DTLS HandShake Timeout.                   SYSPRCH   - System property changed
DISCVBD    - Disconnect vBond after register reply.    TMRALC    - Timer Object Memory Failure.
DISTLOC    - TLOC Disabled.                            TUNALC    - Tunnel Object Memory Failure.
DUPCLHELO  - Recd a Dup Client Hello, Reset Gl Peer.   TXCHTOBD  - Failed to send challenge to BoardID.
DUPSER     - Duplicate Serial Number.                  UNMSGBDRG - Unknown Message type or Bad Register msg.
DUPSYSIPDEL- Duplicate System IP.                      UNAUTHEL  - Recd Hello from Unauthenticated peer.
HAFAIL     - SSL Handshake failure.                    VBDEST    - vDaemon process terminated.
IP_TOS     - Socket Options failure.                   VECRTREV  - vEdge Certification revoked.
LISFD      - Listener Socket FD Error.                 VSCRTREV  - vSmart Certificate revoked.
MGRTBLCKD  - Migration blocked. Wait for local TMO.    VB_TMO    - Peer vBond Timed out.
MEMALCFL   - Memory Allocation Failure.                VM_TMO    - Peer vManage Timed out.
NOACTVB    - No Active vBond found to connect.         VP_TMO    - Peer vEdge Timed out.
NOERR      - No Error.                                 VS_TMO    - Peer vSmart Timed out.
NOSLPRCRT  - Unable to get peer's certificate.         XTVMTRDN  - Teardown extra vManage.
NTPRVMINT  - Not preferred interface to vManage.       XTVSTRDN  - Teardown extra vSmart.
STENTRY    - Delete same tloc stale entry.

PEER     PEER     PEER             SITE        DOMAIN PEER             PRIVATE  PEER             PUBLIC                                   LOCAL      REMOTE     REPEAT
TYPE     PROTOCOL SYSTEM IP        ID          ID     PRIVATE IP       PORT     PUBLIC IP        PORT    LOCAL COLOR      STATE           ERROR      ERROR      COUNT DOWNTIME
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
vbond    dtls     -                0           0      10.10.10.1     12346    10.10.10.1     12346   public-internet  tear_down          NOERR      CRTVERFL     393   2024-01-31 T17:19:15-0500
vbond    dtls     -                0           0      10.10.10.2     12346    10.10.10.2     12346   public-internet  tear_down          NOERR      CRTVERFL     399   2024-01-31 T17:18:56-0500

錯誤標籤CRTVERFL的一些常見原因是：

• 證書的到期時間。
• 根ca不同。
  
  • 控制器中是否發生根ca的更新。
  • 使用由思科提供的不同憑證授權單位(CA)，且裝置需要手動安裝根CA。
• 在重疊中更改證書頒發機構。

註：有關控制連線錯誤的詳細資訊，請訪問排除SD-WAN控制連線故障。

在重疊中的所有元件中，根ca檔案需要完全相同。有兩種方法可以驗證所用的root-ca檔案是否正確

1.檢查檔案的大小，這在root-ca有更新的情況下很有用。

vBond:/usr/share/viptela$ ls -l 
total 5 
-rw-r--r-- 1 root root   294 Jul 23 2022 ISR900_pubkey.der 
-rw-r--r-- 1 root root  7651 Jul 23 2022 TPMRootChain.pem 
-rw-r--r-- 1 root root 16476 Jul 23 2022 ViptelaChain.pem 
-rwxr-xr-x 1 root root 32959 Jul 23 2022 ios_core.pem 
-rw-r--r-- 1 root root 24445 Dec 28 13:59 root-ca.crt 

vEdge:/usr/share/viptela$ ls -l 
total 6                                    
drwxr-xr-x 2 root root   4096 Aug 28  2022 backup_certs                                                                                             
-rw-r--r-- 1 root root   1220 Dec 28 13:46 clientkey.crt                                                                                            
-rw------- 1 root root   1704 Dec 28 13:46 clientkey.pem           
-rw------- 1 root root   1704 Dec 28 13:46 proxy.key                                                                                                
-rw-r--r-- 1 root root      0 Aug 28  2022 reverse_proxy_mapping                                                                                    
-rw-r--r-- 1 root root 23228 Aug 28 2022 root-ca.crt                                                                                              

2.使用md5sum root-ca.crt vshell命令驗證檔案與原始檔完全相同的第二種、也是最可靠的方法。提供md5後，比較控制器元件和邊緣裝置的結果。

vBond:/usr/share/viptela$ md5sum root-ca.crt 
a4f945b9a1f50f1fa68d539dcf2e54f2 root-ca.crt 

vEdge:/usr/share/viptela$ md5sum root-ca.crt 
b36358d01b36254a54db2f8db2266ced root-ca.crt 

註：由於md5sum root-ca.crt vshell命令用於驗證檔案的完整性，實際上對檔案的任何更改都會導致MD5雜湊值不同。

解決方案

裝置的根證書鏈可以安裝多個工具。使用Linux命令有兩種安裝方法。

在vShell中使用Linux CAT命令建立root-ca

註：此過程適用於內容中沒有空白行的根ca檔案，適用於使用Linux vi編輯器過程的空白行的情況。

步驟 1.從驗證器獲取並複製root-ca.crt檔案。

所有控制器上的根ca都相同，可從路徑/usr/share/viptela/中的任意一個控制器複製。

vBond# vshell
vBondvBond:~$ cat /usr/share/viptela/root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv  
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE----- 

步驟 2.在vedge中建立根ca.crt檔案。

從vshell導航到/home/admin或/home/<username>並建立root-ca.crt檔案。

vEdge# vshell
vEdge:~$ cat <<"" >> root-ca.crt
> -----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
> 
vEdge:~$  

步驟 3.驗證它是否完整。

vEdge:~$ cat root-ca.crt
-----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
vEdge:~$ 

註：必須驗證檔案是否完整，如果不完整，請使用rm root-ca.crt vshell命令刪除檔案，然後從步驟2中再次建立該檔案。

退出vshell並繼續執行部分。

vEdge:~$ exit

在vShell中使用VI文本編輯器建立root-ca

步驟 1.從驗證器獲取並複製root-ca.crt檔案。

所有控制器上的根ca都相同，可從路徑/usr/share/viptela/中的任意一個控制器複製。

vBond# vshell
vBond:~$ cat /usr/share/viptela/root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv 
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE-----

步驟 2.在vedge中建立根ca.crt檔案。

從vshell導航到/home/admin或/home/<username>，然後建立根ca.crt檔案。

vEdge# vshell
vEdge:~$ cd /usr/share/viptela/
vEdge:~$ pwd
/home/admin
vEdge:~$ vi root-ca.crt 

按一下Enter後，將顯示編輯器提示。

步驟 3.進入插入模式

• 鍵入：i，然後貼上步驟1中的證書內容。 向下滾動並驗證證書是否完成。

步驟 4.轉義插入模式並儲存證書。

• 按ESC鍵。
• 鍵入:wq! ，然後輸入，以儲存更改並退出編輯器。
  

vEdge:/usr/share/viptela$ cat root-ca.crt 
-----BEGIN CERTIFICATE----- 
MIIE0zCCA7ugAwIBAgIQGNrRniZ96LtKIVjNzGs7SjANBgkqhkiG9w0BAQUFADCB 
yjELMAkGA1UEBhMCVVMxFzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQL 
aG9yaXR5IC0gRzUwHhcNMDYxMTA4MDAwMDAwWhcNMzYwNzE2MjM1OTU5WjCByjEL 
U2lnbiBDbGFzcyAzIFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9y 
SdhDY2pSS9KP6HBRTdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQG 
BO+QueQA5N06tRn/Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+ 
rCpSx4/VBEnkjWNHiDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/ 
NIeWiu5T6CUVAgMBAAGjgbIwga8wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8E 
BAMCAQYwbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEwHzAH 
BgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28udmVy 
aXNpZ24uY29tL3ZzbG9nby5naWYwHQYDVR0OBBYEFH/TZafC3ey78DAJ80M5+gKv
hnacRHr2lVz2XTIIM6RUthg/aFzyQkqFOFSDX9HoLPKsEdao7WNq 
-----END CERTIFICATE----- 

步驟 5.驗證它是否完整。

vEdge:~$ cat root-ca.crt
-----BEGIN CERTIFICATE----- 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-----END CERTIFICATE-----
vEdge:~$ 

註：必須驗證檔案是否完整，如果不完整，請使用rm root-ca.crt vshell命令刪除檔案，然後從步驟2中再次建立該檔案。

退出vshell並繼續執行部分。

vEdge:~$ exit

安裝憑證

步驟 1.使用request root-cert-chain install <path>命令安裝root-ca證書。

vEdge# request root-cert-chain install /home/admin/root-ca.crt
Uploading root-ca-cert-chain via VPN 0
Copying ... /home/admin/PKI.pem via VPN 0
Updating the root certificate chain..
Successfully installed the root certificate chain

步驟 2.使用show control local properties命令驗證它是否已安裝。

vEdge# show control local-properties 
personality vedge 
organization-name organization-name
root-ca-chain-status Installed 

certificate-status Installed 
certificate-validity Valid 
certificate-not-valid-before Apr 11 17:57:17 2023 GMT 
certificate-not-valid-after Apr 10 17:57:17 2024 GMT