服务器 2023-09-02

服务器KVM证书超时问题分析

1       现网描述

1.1      环境描述

设备型号:Kuntai R522 

2       故障描述

2.1      故障现象

问题现象:在iBMC界面的HTML集成远程控制台打开后,报“设置信任证书超时,无法开启KVM”。

image.png

3       问题分析

3.1      排查思路

关键过程:

1.      根据告警首先判断,该告警是否为真实告警(检查证书的有效期)

打开iBMC WebUI中的“服务管理 > Web服务”页面,在“证书信息”区域中检查服务器证书是否过期。

image.png

查看证书有效期确实超时,需要重新生成证书并替换原有证书。

2,若按步骤1查询,证书时间正常。则排查KVM客户端与服务端建立连接是否出现问题

具体步骤:

a,重启iBMC尝试重新建立连接,查看问题是否解决。未解决参考步骤b

b,重连iBMC后告警依然存在,则需排查端口以及协议策略问题

主要观察KVM(默认2198)和VMM(8208)两个端口能否正常通信,进行端口映射,且本地端口和映射端口需要一致, 映射完成可以正常使用远程控制功能

排查过程中若发现KVM(默认2198)端口无法通信,此端口和TLS协议相关,可能存在TLS1.1协议与SSL证书不兼容,导致2198端口不通,导致KVM黑屏的情况。

image.png

取消勾选TLS协议并保存,重启bmc后2198端口正常。后续正常登录虚拟控制台

3.2      原因分析

KVM客户端与服务端建立连接前,需要进行SSL证书校验,若校验失败,则导致HTML5集成远程控制台无法连接。 

4       问题解决

4.1      解决办法

步骤1:查看证书有效期,重新生成导入证书,导入后重启iBMC查看是否解决

未解决,参考步骤2 

步骤2:若证书未超时,判断可能是iBMC软件出现问题,尝试重启iBMC查看是否解决

未解决,参考步骤3 

步骤3:排查KVM(默认2198)和VMM(8208)两个端口能否正常通信,若无法通信

需要在两侧查看2198和8208是否开放,两侧开放的端口需要保持一致。

2198端口不通,可考虑TSL1.1与SSL证书不兼容的问题,在ibmc取消勾选TLS协议并保存。保存后重启iBMC生效

4.2        分析总结

该问题主要是KVM客户端与服务端连接出现问题,针对连接问题应该考虑的方向大致为端口,验证证书,以及两侧应用三种。后续遇到该问题也可以针对该大致方向进行排查。