NSX ロードバランサー アップグレード前チェックで OpenSSL 3.0 への準拠に関するメッセージが発生する問題の対処方法
Article ID: 431255
Updated On:
Products
Issue/Introduction
免責事項：これは英文の記事「How to remediate NSX load balancer upgrade pre-check failing with message regarding OpenSSL 3.0 compliance
(368005)」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。
- ロードバランサーのアップグレード前チェック中に以下のようなメッセージが表示されることがあります:
"データ不整合が見つかりました: LB オブジェクトにサポートされていない証明書、SSL 暗号スイート、またはプロトコルが含まれています。これらは NSX バージョン 4.2 以降の OpenSSL 3.0 準拠要件に適合していません。"
Environment
VMware NSX
Cause
NSX 4.2 ではセキュリティ強化のため、OpenSSL 3.0 にアップグレードされます。
OpenSSL 3.0（デフォルトでセキュリティ レベル 1 かつ FIPS 有効）は、SSL 接続で使用される証明書、暗号スイート、および SSL プロトコルに対してより厳格な検証を行います。
1.証明書（Certificate）
a. 鍵サイズ 1024 の証明書はサポートされません。
b. SHA-1 や MD5 を使用した証明書も許可されません。
2. 暗号スイート（Cipher suite）
a. 3DES 暗号スイートはサポートされません。
b. ECDH 系暗号スイートはサポートされません。
3. SSL プロトコル（SSL protocol）
Resolution
アップグレード前チェックの結果は、NSX Manager の中で次のファイルに出力されます:
/var/log/upgrade-coordinator/lb-precheck-output.txt
注意: lb-precheck-output.txt は NSX Manager アプライアンスのいずれか 1 台に生成されます。クラスター内のすべての NSX Manager アプライアンスを確認し、最新のチェック結果ファイルを探してください。
ワークアラウンド: アップグレードを完了させるには、ロードバランサーおよび SSL 証明書が紐付けられているすべてのサービス（モニター、仮想サーバー、SSL プロファイル）を無効化します。
これによりアップグレード処理が完了し、NSX の新バージョン上で証明書等を適切に修正できるようになります。
アップグレード前チェックで警告やエラーが出た場合は、生成された lb-precheck-output.txt を確認し、英文の記事「How to remediate NSX load balancer upgrade pre-check failing with message regarding OpenSSL 3.0 compliance
(368005)」の添付 PDF（NSX_OpenSSL_Upgrade___NSX_LB_impact.pdf）を参照して、各警告/エラーの具体的なカテゴリと対処方法を確認してください。
必要に応じて、アップグレード前チェックを再実行し、最新の lb-precheck-output.txt を再生成することも可能です。
（再実行後も、クラスター内のすべての NSX Manager アプライアンスで結果ファイルを確認してください。）
Additional Information
注意:
NSX 4.2 ではセキュリティ強化のため OpenSSL 3.0 にアップグレードされ、TLS_V1_2 プロトコルのみがサポートされます。
英文の記事「How to remediate NSX load balancer upgrade pre-check failing with message regarding OpenSSL 3.0 compliance
(368005)」 に添付されている PDF ファイルには、より詳細な情報が記載されています。
Feedback
