Contents

Introduction

Informações de Apoio

Problema

Sintoma

Solução

Introduction

Este documento descreve como o certificado mudou em 31 de março de 2021 afeta o Smart Licensing em Expressways.

A Cisco migra para uma nova autoridade de certificação, IdenTrust Commercial Root CA 1 de março de 2021. Se você usa o Smart Licensing em Expressways, faça o upload do novo certificado raiz para seus dispositivos Expressway antes de 31 de março de 2021. Se não tiver sido carregado, a Sincronização de conexão entre o Expressways e o Cisco Smart Software Manager (CSSM) será interrompida.

Informações de Apoio

A CA raiz QuoVadis Public Key Infrastructure (PKI) 2 usada pelo CCP para emitir certificados SSL está sujeita a um problema em todo o setor que afeta as capacidades de revogação. Devido a este problema, a CA 2 raiz do QuoVadis foi desativada em 2021-03-31. Nenhum certificado novo é emitido para a Cisco pelo QuoVadis Root CA 2 após 2021-03-31.

Os certificados emitidos antes da CA raiz do QuoVadis 2 são desativados e continuam válidos até que atinjam a data de expiração individual. Quando esses certificados expiram, eles não são renovados e isso pode fazer com que funções como o Smart Licensing não estabeleçam conexões seguras.

A partir de 2021-04-01, o IdenTrust Commercial Root CA 1 é usado para emitir certificados SSL anteriormente emitidos pelo QuoVadis Root CA 2.

- Atualização de 23 de março de 2021:Clientes que utilizam o Cloud Certificate Management não veem o novo certificado IdenTrust em sua lista de certificados atualmente. O certificado Quovadis existente (O=QuoVadis Limited, CN=QuoVadis Root CA 2) ainda é válido. O certificado IdenTrust se tornará disponível para o gerenciamento de certificados em nuvem em um futuro TBD. Se você utilizar o Gerenciamento de Certificados de Nuvem, nenhuma interrupção de serviço como resultado deste anúncio é detectada e você não precisa tomar nenhuma ação no momento.

Problema

Para todos os Expressways Core e Edge, alguns certificados SSL (Secure Sockets Link) emitidos da cadeia confiável da autoridade de certificação raiz (CA) do QuoVadis antes de 2021-03-31 não podem ser renovados desta CA. Quando esses certificados expiram, funções como Smart Licensing não conseguem estabelecer conexões seguras com a Cisco e podem não funcionar corretamente.

Sintoma

As plataformas afetadas no Expressway Core e Edge não podem se registrar no Smart Licensing hospedado por tools.cisco.com. Licenças inteligentes podem falhar na qualificação e refletir como um status de não conformidade.

Note: A Cisco oferece um período de carência de 60 dias antes que as Smart Licenses afetadas sejam colocadas em um status de Autorização expirada que afetaria a funcionalidade do recurso. O registro de licença inteligente para novos produtos pode ser afetado e exige uma solução/solução alternativa.

Solução

As etapas também são explicadas neste vídeo: https://video.cisco.com/video/6241489762001

Instruções sobre como carregar o novo certificado no Expressway-Core e Expressway Edge:

Etapa 1. Baixe o CA 1 da raiz comercial do IdenTrust aqui e salve-o comodentrust_RootCA1.pem Ou arquivo cer.

1. Acesse o site acima.

2. Copie o texto dentro da caixa.

3. Salve o texto no Bloco de Notas e salve o arquivo. Nomeie o arquivo como identrust_RootCA1.pem Ou identrust_RootCA1.cer

Em todos os seus dispositivos Expressway, navegue para Manutenção > Segurança > Certificado CA confiável.

Etapa 2. Carregue o arquivo no repositório de confiança do Expressway.

Carregue o certificado CA no Arquivo de Confiança do Expressway. Clique em Append CA (Acrescentar CA).

Navegue > Upload do identrust_RootCA1.pem > Append CA Certificate.

O certificado CA carregado pode ser verificado abaixo.

Passo 3: Verifique se o certificado foi carregado com êxito e se está presente no VCS / Expressway Trust Store

Não é necessário reiniciar ou reiniciar após esta operação para que as alterações entrem em vigor.

Verifique este aviso de campo para obter mais detalhes

Link Aviso de campo.

https://www.cisco.com/c/en/us/support/docs/field-notices/705/fn70557.html