Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Etapas de solução de problemas de acordo com o processo ZTD em soluções de FAN

Configuração do FAR (Field Area Router, roteador de área de campo)

Inscrição no SCEP

Provisionamento de túnel

O FAR entra em contato com o TPS com uma solicitação de provisionamento de túnel com HTTPS na porta 9120

Registros depois que o túnel é estabelecido entre HER e FAR e, a seguir, FAR pode se comunicar diretamente com HER

Registro do dispositivo

Etapa 1. Prepare-se para o registro de dispositivos

Etapa 2. CG-NMS recebe uma solicitação de registro de dispositivo

Informações Relacionadas

Introduction

Este documento descreve como solucionar problemas comuns enquanto a solução ZTD (Zero Touch Deployment, Implantação Zero Touch Zero) em FAN (Field Area Network, Rede de Área de Campo) consiste em CGR (Connected Grid Router, Roteador de Grade Conectada) e FND (Field Network Diretor, Diretor de Rede de Campo).

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas na implantação ZTD com CGR.

Inclui CGR (CGR1120/CGR1240), FND, TPS (Tunnel Provisioning Server), RA (Registration Authority), CA (Certificate Authority), DNS (Domain Name Server) como componentes.  O FND e o Cisco Connected Grid Network Management System (CG-NMS) são intercambiáveis porque o CG-NMS é uma versão anterior do FND.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Etapas de solução de problemas de acordo com o processo ZTD em soluções de FAN

Configuração do FAR (Field Area Router, roteador de área de campo)

Tudo começa com essa configuração de fabricação, portanto, essa etapa é essencial para uma implantação bem-sucedida.

Essa configuração acionará as duas primeiras fases: Simple Certificate Enrollment Protocol (SCEP) e provisionamento de túnel.

Um teste bem-sucedido é um FAR implantado com sua configuração de fabricação e capaz de passar pelo processo ZTD para finalmente se registrar no CG-NMS sem qualquer intervenção.

Suspeitos comuns:

- As credenciais entre FAR e CG-NMS não correspondem.

- A URL do Agente NMS da rede conectada (CGNA - Connected Grid NMS Agent) para provisionamento de túnel está incorreta (verifique se é https e não http).

- Servidor de Nomes de Domínio (DNS) configurado incorretamente para resolver o FQDN (Nome de Domínio Totalmente Qualificado) do TPS.

Se no momento da solução de problemas dessas duas fases, a configuração de fabricação precisar ser atualizada, este processo deve ser seguido:

- Bloquear a conectividade FAR com o HE (física ou logicamente)

- Reverta o FAR para sua configuração de configuração expressa

- Aplicar as alterações

- Crie um novo arquivo express-setup-config

- Salvar a configuração na nvram

- Restaure a conectividade para que o FAR possa disparar o processo ZTD novamente

Inscrição no SCEP

Os objetivos desta fase são autorizar o FAR a receber seu certificado de identidade de dispositivo local (LDevID) do PKI (Public Key Infrastructure, Infraestrutura de Chave Pública) RSA e a obter um certificado após a autorização. Esta etapa é um pré-requisito para a próxima, onde o FAR precisa de seu certificado para se comunicar com o TPS e estabelecer seu túnel IPSec com o HER.

Os componentes envolvidos são: FAR, RA, servidor SCEP, servidor Radius e seu DB.

Um script TCL (Tool Command Language) chamado tm_ztd_scep.tcl iniciará automaticamente o processo SCEP e continuará tentando até que a inscrição seja bem-sucedida.

Etapas

Componentes envolvidos

Diretrizes de Troubleshooting

Comandos úteis

o gerenciador de eventos inicia o script tm_ztd_scep.tcl

LONGE

- Verificar a configuração do gerenciador de eventos

- Verificar a configuração das variáveis de ambiente usadas pelo script

os comandos deb event manager tcl destacarão todos os comandos CLI aplicados pelo script

resolução de RA FQDN

LONGE, DNS

- Verificar a conectividade entre FAR e DNS

- Verifique o registro DNS para resolver esse nome

- Verificar a configuração do perfil de inscrição FAR

Faça ping no RA FQDN a partir do FAR

FAR envia solicitação SCEP ao RA

LONGE, RA

- Verificar a conectividade entre RA e FAR

- Verifique a configuração do RA. O servidor PKI deve estar UP

debug crypto pki transactions

debug crypto provisionamento

autorização de PKI

RA, RADIUS

- Verificar a conectividade entre o servidor RA e RADIUS

- Verificar a configuração de autorização de PKI RA

- Verificar a configuração do servidor Radius

debug crypto pki scep

debug crypto pki transactions

debug crypto pki server

debug crypto provisionamento

Emissão de certificado FAR

RA, CA do emissor

- Verificar a conectividade entre RA e CA do Emitente

RA: debug crypto pki

Se a AC do emitente for um IOS-CA, o mesmo comando de depuração também poderá ser usado

Provisionamento de túnel

No momento dessa fase, o FAR se comunicará com o TPS (atua como proxy em nome do CG-NMS) para obter sua configuração de túnel do CG-NMS. Essa fase é iniciada pelo script tcl do SCEP quando a inscrição é feita ativando o perfil do CGNA.

Os componentes envolvidos são: LONGE, DNS, TPS, CG-NMS.

Etapas

Componentes envolvidos

Guias de solução de problemas

Comandos úteis

Script TCL para ativar o perfil CGNA

LONGE

Verifique se o perfil correto está configurado para a variável de ambiente ZTD_SCEP_CGNA_Profile

"show cgna profile-all" para verificar se o perfil está ativo

perfil CGNA resolver TPS FQDN

LONGE, DNS

- Verificar a conectividade entre DNS e FAR

- Verifique o registro DNS para resolver esse nome

- Verifique a configuração de FQDN do TPS no URL do CGNA

LONGE: ping TPS FQDN

Perfil CGNA estabelece sessão HTTPS com TPS

LONGE, TPS

- Verificar se o serviço TPS está em execução

- Verificar arquivo de armazenamento de chaves TPS

- Verificar se o TPS recebe pacotes TPS do CGR

- Verificar a configuração do perfil CGNA

O arquivo de log do TPS está localizado em: /opt/cgms-tpsproxy/log/tpsproxy.log

Solicitação de túnel de encaminhamento TPS para CG-NMS

TPS, CG-NMS

- Verificar propriedades de TPS e CG-NMS

- Verificar a conectividade entre TPS e CG-NMS

- Verificar registros TPS e CG-NMS

O arquivo de log do FND está localizado em: cd /opt/cgms/server/cgms/log

O FAR entra em contato com o TPS com uma solicitação de provisionamento de túnel com HTTPS na porta 9120

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Inbound proxy request from [192.168.1.1] with client certificate subject

[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Completed inbound proxy request from [192.168.1.1] with client certificate subject

[SERIALNUMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

Registros depois que o túnel é estabelecido entre HER e FAR e, a seguir, FAR pode se comunicar diretamente com HER

4351: iok-tps: Jul 13 2016 14:46:12.328 +0000: %CGMS-6-UNSPECIFIED: %[ch=1c3d5104]

[eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Inbound proxy request from [192.168.1.1] with client certificate subject [SERIALNUMBER=PID:

IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4352: iok-tps: Jul 13 2016 14:46:12.382 +0000: %CGMS-6-UNSPECIFIED:

%[ch=1c3d5104][eid=IR809G-LTE-NA-K9+JMX2007X00Z][ip=192.168.1.1][sev=INFO][tid=qtp756319399-23]:

Completed inbound proxy request from [192.168.1.1] with client certificate subject [SERIALN

UMBER=PID:IR809G-LTE-NA-K9 SN:JMX2007X00Z, CN=IR800_JMX2007X00Z.cisco.com]

4353: iok-tps: Jul 13 2016 14:46:12.425 +0000: %CGMS-6-UNSPECIFIED:

%[ch=TpsProxyOutboundHandler][ip=192.168.1.1][sev=INFO][tid=qtp687776794-16]:

Outbound proxy request from [192.168.1.2] to [192.168.1.1]

4354: iok-tps: Jul 13 2016 14:46:14.176 +0000: %CGMS-6-UNSPECIFIED:

%[ch=TpsProxyOutboundHandler][ip=10.10.10.61][sev=INFO][tid=qtp687776794-16]:

Outbound proxy request from [192.168.1.2] to [192.168.1.1

Registro do dispositivo

Etapa 1. Prepare-se para o registro de dispositivos

O CG-NMS encaminhará a configuração do perfil CGNA cg-nms-register. Comandos adicionais são adicionados para que o perfil seja executado imediatamente, em vez de esperar que o temporizador de intervalo expire.

O CG-NMS desativará o provisionamento de túnel cg-nms-tunnel do perfil do CGNA considerado concluído neste ponto.

Etapa 2. CG-NMS recebe uma solicitação de registro de dispositivo

- Verifique se o FAR está provisionado em seu DB

- Verifique se os arquivos cg-nms.odm e cg-nms-scripts.tcl estão ausentes na flash do FAR ou se devem ser atualizados para uma nova versão. O CG-NMS os carregará automaticamente, se necessário.

- Capturar configuração atual FAR

- Processar todas as saídas dos comandos show incluídas na solicitação. Peça os que estão faltando, se necessário. A lista pode variar com base na configuração de hardware FAR.

Para obter detalhes sobre como implementar a implantação Zero Touch em sua rede, entre em contato com seu parceiro da Cisco ou engenheiro de sistemas da Cisco.

Para configuração expressa no roteador, entre em contato com seu parceiro ou engenheiro de sistema da Cisco.

Informações Relacionadas

- http://www.cisco.com/c/en/us/td/docs/routers/connectedgrid/cgr1000/1_0/software/configuration/guide/security/security_Book/sec_ztdv4_cgr1000.html

- Suporte Técnico e Documentação - Cisco Systems