сбой при передаче конфигурации PKI при предоставлении WLC из DNAC

[JustTakeTheFirstStep]

![JustTakeTheFirstStep_1-1741058688848.png] Ошибка при передаче конфигурации PKI при подготовке WLC из DNAC WLC#ter mo
Mar 4 01:31:42.745: %PKI-3-PKCS12_IMPORT_FAILURE: PKCS #12 import failed for trustpoint: sdn-network-infra-wan. Reason: Failed to read PKCS12 from url: https://20.20.20.20/api/v1/trust-point/pkcs12/c8fbfbbc-4167-4b1e-9db7-2cc6f7121654/s301auh4v3aiiv8n9l6ocbll0i
Mar 4 01:31:42.748: %PKI-6-TRUSTPOINT_DELETE: Trustpoint: sdn-network-infra-iwan deleted succesfully Состояние netconf не вызывает проблем. WLC#show netconf-yang status
netconf-yang: enabled
netconf-yang candidate-datastore: disabled
netconf-yang side-effect-sync: enabled
netconf-yang ssh port: 830 DNAC$ ssh -l admin 10.10.10.10 -p 830
FIPS mode initialized
admin@10.10.10.10's password:
<?xml version="1.0" encoding="UTF-8"?>
<
hello
xmlns

"
urn:ietf:params:xml:ns:netconf:base:1.0
"
>
<
capabilities
> Кто-нибудь знает, как решить эту проблему?

[Andrii Oliinyk]

Я бы сказал, что w/a будет загружать сертификат из WLC UI вместо DNAC.
Но в вашем выводе есть одна тревожная деталь: https://20.20.20.20/api/v1/trust-point/pkcs12/c8fbfbbc-4167-4b1e-9db7-2cc6f7121654/s301auh4v3aiiv8n9l6ocbll0i возможно ли, что HTTPS от WLC к этому URL просто не работает?

[JustTakeTheFirstStep]

Fusion#telnet 20.20.20.20 443 Trying 20.20.20.20, 443 ... % Destination unreachable; gateway or host down Порт был заблокирован брандмауэром.
После разрешения порта в брандмауэре все работает нормально.
Спасибо за помощь.

[brandon.case]

Я знаю, что этот вопрос помечен как решенный, но я хотел бы добавить решение, которое сработало для меня, когда я столкнулся с той же проблемой, на случай, если какой-нибудь бедный инженер окажется в такой же ситуации позже. Основной причиной сбоя оказалось то, что URL-адрес для загрузки PKCS12 использовал IP-адрес DNAC, а сертификат стороннего производителя, который использует мой DNAC, не содержит IP-адрес в CN или любом SAN. По сути, проверка сертификата завершалась сбоем, когда WLC пытался загрузить пакет PKCS12. Я выяснил это, взяв URL-адрес PKCS12 из сообщений syslog и загрузив его вручную со своей рабочей станции. Загрузка прошла успешно, поэтому я понял, что сам пакет PKCS12 и URL-адрес для его загрузки были рабочими. Единственное, что еще имело смысл, — это сбой проверки сертификата, когда WLC устанавливал HTTPS-соединение для получения пакета PKCS12. Нашел эту публикацию
[«Как вручную подключить Cisco WLC к Cisco DNA Center для обеспечения надежности сети — Cisco Community»]
и воспользовался инструкциями по получению пакета PKCS12 через API. Я изменил URL-адрес для загрузки, чтобы использовать имя хоста моего DNAC (которое является CN в сертификате стороннего производителя), и WLC смог импортировать пакет PKCS12. Начните с шага 4 «Получите сертификат PKCS12 из Cisco DNA Center, затем установите его на WLC». Для справки (с примером данных, предполагая, что CN в сертификате третьей стороны — «mydnacserver.domain»): Исходный URL для загрузки PKCS12:
https://192.0.2.1/api/v1/trust-point/pkcs12/a54ad8c4-4e62-471f-9ec9-fbe4fbf80b6e/kk9hqa4h1gfm06ggjmng7vj9eq
Измененный URL-адрес:
https://mydnacserver.domain/api/v1/trust-point/pkcs12/a54ad8c4-4e62-471f-9ec9-fbe4fbf80b6e/kk9hqa4h1gfm06ggjmng7vj9eq Удачи.