APH-AR証明書の交換後、ManagerとTNノード間の接続が切断された
Article ID: 421987
Updated On:
Products
Issue/Introduction
免責事項：これは英文の記事「After replacing the APH-AR certificate, the connections between the Manager and the TN node were disconnected.(417151)」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。
- APH-AR証明書を交換した。
- Transport Node (TN) 接続が切断（disconnected）と表示される。
GET /api/v1/transport-zones/transport-node-status
...
"node_status": {
"host_node_deployment_status": "HOST_DISCONNECTED",
"inventory_sync_paused": false,
"last_heartbeat_timestamp": #############,
"last_sync_time": #############,
"lcp_connectivity_status": "UNKNOWN",
"lcp_connectivity_status_details": [],
"mpa_connectivity_status": "DOWN",
"mpa_connectivity_status_details": "Client has not responded to {2} consecutive heartbeats. Port {1234} between Host to NSX Manager must be open, Please check underlay physical firewalls and host hypervisor firewalls for troubleshooting.",
....
- TNのログを確認すると、プロキシ接続は当初正常に確立されたものの、約24時間後に接続が切断され、再確立できなくなっています。ログは、CRLチェックに関連する証明書検証の失敗を示しています。
-
/var/log/syslog*
YYYY-MM-DDT00:33:55.343Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" tid="2638378" level="INFO"] [PROXY-MAIN] Start nsx proxy
YYYY-MM-DDT00:33:55.343Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" tid="2638378" level="INFO"] [PROXY-MAIN] Build Number: 24150866
YYYY-MM-DDT00:33:55.343Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" tid="2638378" level="INFO"] [PROXY-MAIN] Running on node: nsx-edge
YYYY-MM-DDT00:33:55.933Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-net" tid="2638400" level="INFO"] StreamSocket[8 Open f:41 i:1919881693 ? -> ssl://###.###.###.###:1234] on_connect 0-Success
YYYY-MM-DDT00:33:55.933Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-net" tid="2638400" level="INFO"] StreamConnection[8 Connected to ssl://###.###.###.###:1234 sid:8] Connected from ssl-tcp://###.###.###.###:39712 to server with certificate with sha256 fingerprint '################################################################'YYYY-MM-DDT23:49:03.448Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-net" tid="2638400" level="INFO"] StreamSocket[8 Closing f:41 i:1919881693 ###.###.###.###:39712 -> ssl://###.###.###.###:1234] DoClose
YYYY-MM-DDT23:49:03.449Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-rpc" tid="2638400" level="INFO"] ConnectionKeeper[4 ssl://###.###.###.###:1234] resetting connection, will reconnect
YYYY-MM-DDT23:49:03.449Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-rpc" tid="2638400" level="INFO"] ConnectionKeeper[4 ssl://###.###.###.###:1234] closing and releasing connection cid:8
YYYY-MM-DDT23:49:03.449Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="nsx-rpc" tid="2638400" level="INFO"] RpcConnection[8 Closed to ssl://###.###.###.###:1234 0] Closing (closed by user)
YYYY-MM-DDT23:49:03.449Z hostname NSX 2638378 - [nsx@6876 comp="nsx-edge" subcomp="nsx-proxy" s2comp="mpa-proxy-lib" tid="2638378" level="INFO"] AphConnectionManager: ConnectionDown for endpoint ssl://###.###.###.###:1234 for reason remote certificates CRL validation failed
Environment
VMware NSX 4.2.1 未満のバージョン
Cause
NSX ManagerがCA署名付き証明書を使用している場合、MP上のCRLマネージャーワークフローの不具合により、Host-MP間の接続が確立から約24時間後に終了してしまいます。 接続が切断された後、CRL検証が失敗し続けるため、ホストは再接続できなくなります。
Resolution
1. 自己署名APH証明書を使用してください。これにより、CA署名付き証明書に影響を与える不具合のあるCRL検証ロジックを回避できます。
2. NSX 4.2.1以降にアップグレードしてください。
Feedback
