VCB: SSLVerifyCertAgainstSystemStore: Subject mismatch

[Hontes]

Hallo,

ich habe hier ein problem und bin schon eine weile am suchen kann aber nichts dazu finden. folgende Konstellation:
3 server wurden auf einen esx (3.5) convertiert und sollen nun mit veritas backup exec 12 gesichert werden.
schätzungsweise ist nach der Installation des ESX sein name geändert worden, nun bekommen ich die fehlermeldung:

SSLVerifyCertAgainstSystemStore: Subject mismatch: esx01.firma.de vs esx01.firma.local
[2008-08-19 13:19:24.747 'BaseLibs' 2336 warning] SSLVerifyCertAgainstSystemStore: The remote host certificate has these problems:
* The host name used for the connection does not match the subject name on the host certificate
* A certificate in the host's chain is based on an untrusted root.

weiss jemand, wie ich den Fehler wieder weg bekomme?
esx01.firma.local steht im config-file (config.js von VCB) und der ESX heisst esx01.firma.local (mehrfach neu gestartet. muss/kann ich das ssl certifikat irgendwie neu generieren?)

über eine Lösung wäre ich echt dankbar

[irix]

Wenn du das CERT auf dem ESX meinst dann liegt das unter /etc/vmware/ssl . Wenn du diese Dateien loescht werden sie beim Neustart erstellt und es wird dein neuer Hostname benutzt.

Gruss
Joerg

[Hontes]

Supi,

denke das wars - werde es morgen gleich ausprobieren

DANKE

Gruss
Axel

[ostekl1]

... und, hat das geklappt?

[Hontes]

Sali,

ich konnte den ESX noch nicht neu starten - werde dich aber natürlich auf dem laufenden halten.

Grüsse
Axel

[Hontes]

Hallo,

also ein bisschen erschrocken bin ich schon.
zuächst hab ich das crt und das key - file umbenannt.
beim nächsten login des infrastructur clients (ic) sah erst alles noch normal aus. dann wollte ich eine console öffnen - fehler. cant connect.
auch rdp ging nicht mehr mit domänen accounts - nur noch lokale benutzer (obwohl ich keine ahnung habe was das damit zu tun hat).
naja - irgendwie habe ich alle server dann runter bekommen und den esx neu gestartet.
alles wieder normal - puhhh

den browse-start mit einer testmaschiene gestartet und siehe da, die fehlermeldung wegen der unterschiedlichen namen kommt nicht mehr. doch zu früh gefreut, dafür habe ich jetzt folgenden fehler:

[2008-08-21 14:13:38.075 'BaseLibs' 5076 warning] SSLVerifyCertAgainstSystemStor
e: The remote host certificate has these problems:

* A certificate in the host's chain is based on an untrusted root.
[2008-08-21 14:13:38.075 'BaseLibs' 5076 warning] SSLVerifyIsEnabled: failed to
read registry value. Assuming verification is disabled. LastError = 0
[2008-08-21 14:13:38.075 'BaseLibs' 5076 warning] SSLVerifyCertAgainstSystemStor
e: Certificate verification is disabled, so connection will proceed despite the
error

Gut, er macht trotzdem weiter, wie er ja auch selber sagt, trotzdem hätte ich auch den fehler gerne weg.

ich bin halt in der linuxwelt zuhause, entschuldigt also mein unwissen.
wäre klasse, wenn ihr auch dafür so ne lösung wie oben parat hätte

thx auf alle fälle
Gruss
Axel

[irix]

Das sind doch nur SSL Warnings und keine Fehler. Mal die Frage wo du diese Meldungen zu Gesicht bekommst? Ich bekomme die nur wenn ich ueber die Kommandozeile (z.B. bei vcb )was mache und da auch nur weil der cname im Cert "vmware" lautet, ich aber den Server mit seinem richtigem Namen anspreche.

Von VMware gibts nen PDF zum Thema Zertifikate und deren Austausch und Erstellung.

Eine der Meldungen sollte verschwinden wenn du den Registrykey für "Certificate verification" anlegst. Nur sollte da nicht true/1 drin stehen solange du noch Warnungen bzw Fehler

Frage:
War dein vorheriges Zertifikat von einer RootCA signiert? Weil die Meldung sagt ja nun das es nicht mehr so ist. Das sind die gleichen Meldungen welche ich hier auch habe.

Gruss
Joerg

[Hontes]

Hallo Joerg,

Ja, Stimmt alles. es sind nur ssl-warnungen und ich bekomme diese Fehlermeldungen wenn ich mit dem "Backup Exec integration module" von Symantec Arbeite (also über die Komandozeile).

auch wenn ich mich schon wieder oute - was meinst du mit "den Registrykey für "Certificate verification" anlegst". auf dem vcb proxy in der registry (dann wo dort, welcher name und dword). oder auf dem esx (keine ahnung ob es da sowas überhaupt gibt).

nein, mein certifikat war/ist nicht signiert. es war lediglich das standard zertifikat von der installation des esx.

Grüsse
Axel