Schlagwort: SSL

Veröffentlicht am

ESXi 5.5 Host Zertifikat aktualisieren

Passende Zertifikate – auch wenn sie nicht vetrauenswürdig signiert sind – sind wichtig für die Kommunikation der Hosts innerhalb des HA-Clusters. Ich schrieb vor einiger Zeit über das Verfahren zur Generierung von selbst signierten Host Zertifikaten bei ESXi. Das Prinzip ist gleich, man muss unter ESXi 5.5 jedoch einen Zusatzschritt einbauen.

Generate-Certificates

  • SSH auf Host aktivieren
  • SSH Client (Putty oder ähnlich) auf Host verbinden
  • Skript ausführen (vgl. unten)

Bei Ausführung des Skriptes erhält man eine Warnung wie unten dargestellt und die Zertifikate werden nicht erneuert. Im beobachteten Fall lautete es weiterhin auf localhost.localdomain.

# /sbin/generate-certificates
WARNING: can't open config file: /etc/pki/tls/openssl.cnf

„ESXi 5.5 Host Zertifikat aktualisieren“ weiterlesen

Veröffentlicht am

vCenter ADWS Error 1209

Nach dem Update von vCenter auf Version 5 kann es zu zahlreichen Einträgen im Ereignisprotokoll von Windows Server 2008 R2 kommen. Im Minutenabstand erscheinen ADWS (Active Directory Web Service) Fehler mit der Nummer 1209.

Englisches System:

Active Directory Web Services encountered an error while reading the settings for the specified Active Directory Lightweight Directory Services instance. Active Directory Web Services will retry this operation periodically. In the mean time, this instance will be ignored.

Deutsches System:

Fehler von Active Directory-Webdiensten beim Lesen der Einstellungen für die angegebene Active Directory Lightweight Directory Services-Instanz. Von den Active Directory-Webdiensten wird in regelmäßigen Abständen erneut versucht, diesen Vorgang auszuführen. In der Zwischenzeit wird diese Instanz ignoriert. „vCenter ADWS Error 1209“ weiterlesen

Veröffentlicht am

vSphere5 – ESXi Host SSL Fingerprint

Im vCenter sah ich einen der ESXi Hosts im Status “disconnected”, jedoch alle VMs dieses Hosts waren erreichbar. Der Grund war schnell gefunden. Ich hatte vergessen, die 64 Tage Demolizenz auf die echte Lizenz umzustellen.

Administration > vCenter Settings > Licensing

HA Fehler

Nach der Umstellung versuchte ich den Host neu zu verbinden und erhielt diese Fehlermeldung.

vSphere HA Cannot be configured on this host because its SSL thumbprint has not been verified.

Etwas mit den SSL Einstellungen des Hosts schien nicht in Ordnung zu sein.

Bei allen Hosts in der Liste muss der Haken “Verified” gesetzt sein. Danach den Host trennen (nicht entfernen!) und wieder verbinden.

Die Echtheit des Fingerprints kann direkt überprüft werden, indem man ihn mit dem SSL Fingerprint am DCUI (ESX Konsole) vergleicht.

vSphere 5.1

Ab vCenter Version 5.1 gibt es keine SSL Settings mehr in den vCenter Einstellungen.

Links

the Hyperadvisor – vSphere HA cannot be configured on the host because of its SSL

vmware KB 2006210

Veröffentlicht am

ESXi Host Zertifikat aktualisieren

Bei der Installation eines ESXi Servers erstellt dieser ein eigenes (untrusted) Host Zertifikat. Dieses ist ausgestellt auf den FQDN des ESXi. Im Zusammenhang damit brachte mich heute die Ausführung eines Perl-Skriptes nahe an die Verzweiflung. Ein bisher im problemlos funktionierendes Skript warf Zertifikatsfehler.

Can't connect to 10.0.0.101 (certificate verify failed)

Natürlich kommen beim untrusted Zertifikat des ESXi immer Zertifikatswarnungen. Das ist normal, denn schließlich ist die Echtheit nicht offiziell bestätigt. Warum machte aber das Perl-Skript jetzt Probleme? Der ESXi war korrekt im DNS registriert. Ich startete eine Browsersitzung (IE) auf den ESXi Server.

Diese Meldung ist normal. Denn das Zertifikat ist (für den IE) nicht vertrauenswürdig. Klickt man auf Fortsetzen, so kann man sich das Zertifikat ansehen indem man auf die Zertifikatswarnung neben der Adresszeile klickt.

Das ESXi Hostzertifikat war ausgestellt auf localhost.localdomain. Ein sicheres Zeichen, daß der Name des ESXi nachträglich geändert wurde, oder zunächst beim Setup vergessen wurde.

Neues Hostzertifikat

  • SSH Service am ESXi starten
  • Login via ssh auf den ESXi Host
/sbin/create_certificates

Gelegentlich heisst es auch:

/sbin/generate-certificates
  • Reboot ESXi
  • vSphere Client schließen (wichtig!)
  • vSphere Client neu mit ESXi verbinden
  • Jetzt muss ein neues Zertifikat akzeptiert werden (falls nicht ist zuvor etwas falsch gelaufen)

[UPDATE: Bei ESXi 5.5 Hosts müssen zusätzliche Schritte durchgeführt werden. Beschrieben in diesem Artikel]

Links

VM-Help.com – Change your host’s network name and SSL certificate. Die Seite beschreibt den Vorgang für ESX 3i. Die Commandlets haben sich inzwischen leicht geändert und haben neue Namen. Dennoch war dieser Blogeintrag sehr hilfreich für mich.