事象：FTD："certificate has expired" のエラーで、FMC～FTD間の接続ができない

[Taisuke Nakamura]

新規FTDデバイスをFMC登録時に、messages ファイルにて以下エラーログが出力され、FTDデバイス登録が不可となるケースがあります。

Apr 1 23:52:01 prdpfiresight01 SF-IMS[25618]: [21172] sftunneld:sf_ssl [ERROR] -Error with certificate at depth: 0
Apr 1 23:52:01 prdpfiresight01 SF-IMS[25618]: [21172] sftunneld:sf_ssl [ERROR] issuer = /title=InternalCA/CN=xxxxxxxx/OU=Intrusion Management System/O=Cisco Systems, Inc
Apr 1 23:52:01 prdpfiresight01 SF-IMS[25618]: [21172] sftunneld:sf_ssl [ERROR] subject = /CN=localhost/OU=Intrusion Management System/O=Cisco Systems, Inc/title=xxxxxxxx/generationQualifier=sftunnel
Apr 1 23:52:01 prdpfiresight01 SF-IMS[25618]: [21172] sftunneld:sf_ssl [ERROR] err 10:certificate has expired

  
当ログが出力時、FTDデバイス側の時刻が大きく間違っている可能性があります。例えば、以下はFTDの時刻情報となり、10年以上前の時刻であることがわかります。

> show time
UTC - Sun Jan 1 07:38:33 UTC 2012
Localtime - Sun Jan 01   02:38:34 EST 2012

FTDとFMCの時刻の乖離が大きいと、FTDとFMC間のデバイス登録時の証明書エラーにつながります。

解決策は以下3点です。

1. FTDデバイスの時刻情報を正しく設定してから、FTD～FMC間のデバイス登録を行う

2. （上記１で復旧しない場合）Cisco TACに FTDデバイスの証明書の再作成の支援依頼
  - 証明書の再作成はCLIで実施が必要なため、通常、復旧に時間を要します
  - 既存FTDデバイスを動作させたまま、FMC～FTD間の接続を復旧させたい場合に検討

3. （上記１で復旧しない場合）FTDデバイスをリイメージし、正しい時刻を設定した後に、  FMC/FTDのデバイスの再登録を行う
   - リイメージにより古い証明書やファイルシステムや削除され、正しい時刻の証明書の再作成ができます 
   - 通常 リイメージは1時間程度で可能ですので、新規FTDデバイスで素早く復旧させたい場合にお勧め

FTDデバイスのリイメージ手順は以下動画などを参考にしてください。
https://www.youtube.com/watch?v=wUxp7i3Tuh8