Cisco FTD/ASA güvenlik duvarlarında "Certificate DefaultWebserverCertificate expired" hatası nedeniyle sistem yükseltme engelini çözme için kapsamlı operasyon rehberi. High Availability ortamlar için detaylı adım adım kılavuz.
FDM (local management) modunda System Upgrade ekranında bu hata ile karşılaştığınızda, yeni sertifika oluştursanız bile Upgrade butonu pasif kalır.
FDM, yükseltmeyi başlatmadan HTTPS yönetim sertifikasının geçerli olmasını şart koşar.
7.3/7.4.x bazı build'lerde eski "DefaultWebserverCertificate" objesi expired görünmeye devam eder.
Nginx servisinde sertifika dosyası doğru dizinde değilse veya servis reload edilmemişse yeni cert devreye girmez.
Active/Standby'da iki tarafta da tutarlı yenileme yapılmadıysa yine blok oluşur.
Bu işlemler sistem kesintisine neden olabilir. Mutlaka bakım penceresi planlayın ve tüm yedekleri alın.
Running-config, HA durum fotoğrafı ve sistem bilgilerini kaydedin.
Standby'da çalışın, sonra Active'e uygulayın.
Yükleyeceğiniz upgrade paketi (.tar/.pkg) dosyasının mevcut ve doğrulanmış olduğundan emin olun.
Expired sertifikaları kırmızı renkte göreceksiniz.
Hangi dosyanın aktif kullanıldığını "Not After" tarihine bakarak tespit edin.
Bu rehber, süresi dolmuş sertifika nedeniyle sistem yükseltme engelini çözmek için adım adım prosedürü içerir. GUI ve CLI komutlarıyla birlikte her adım detaylı olarak açıklanmıştır.
NGFW-Default-InternalCA adında yeni Certificate Authority oluşturun (gerekirse).
Internal CA ile imzalanmış yeni DefaultWebserverCertificate oluşturun.
Expired eski DefaultWebserverCertificate objesini GUI'den tamamen silin.
Sistem saati doğru değilse NTP'yi düzeltin. Yanlış saat "expired" algısı yaratır.
Nginx/Apache'nin hangi sertifika dosyasını kullandığını kontrol edin.
"Not After" yeni tarih, Issuer = NGFW-Default-InternalCA olmalı.
Objects → Certificates bölümünde expired görünen eski "DefaultWebserverCertificate" objesini mutlaka DELETE edin. Bu adımı atlarsanız upgrade devam etmez!
Deploy işlemini yapmayı unutmayın. Bu, upgrade kontrolünün eski UUID'ye bakmasını engeller.
Internal CA ile imzalanan yeni web server sertifikasını oluşturun ve HTTPS için aktif edin.
Objects → Certificates → Add
Sertifika oluşturma menüsüne gidin
Internal Certificate Seçin
Certificate türü olarak "Internal Certificate" seçin
Sertifika Bilgileri
✅ Use as HTTPS Server Certificate
Bu seçeneği mutlaka işaretleyin!
Common Name (CN) alanına FDM'ye erişmek için kullandığınız IP adresini veya hostname'i yazın.
Sertifikayı oluşturduktan sonra mutlaka Save yapın ve ardından Deploy işlemini gerçekleştirin.
Süresi dolmuş eski DefaultWebserverCertificate objesini sistemden tamamen kaldırın.
Bu adım upgrade engelini kaldırmak için mutlaka gereklidir. Eski sertifika objesi silinmezse sistem yükseltmesi çalışmaz.
Yeni sertifika oluşturmuş olsanız bile, eski obje kalırsa upgrade kontrolü hala eski UUID'ye bakar!
Objects → Certificates'a gidin
Sertifika listesi sayfasını açın
Expired sertifikayı bulun
"Valid Until" sütununda kırmızı görünen eski DefaultWebserverCertificate
DELETE butonuna tıklayın
Sertifika satırındaki silme butonunu kullanın
Deploy işlemini yapın
Değişikliklerin sisteme uygulanması için mutlaka deploy edin
Nginx/Apache web servisinin yeni sertifikayı kullanmasını sağlayın.
HA ortamında Standby node'da reboot yapabilirsiniz, Active'de sadece nginx reload tercih edin.
FDM'ye tarayıcıdan bağlanın:
System Upgrade sayfasını kontrol edin:
High Availability ortamında sertifika yenileme işlemi dikkatli bir sıralama gerektirir. Kesinti minimize etmek için önce Standby node'da işlemleri tamamlayın, ardından Active node'a geçin.
Hangi node'un Standby olduğunu doğrulayın.
Standby'da reboot yapmak güvenlidir.
Standby'da yaptığınız tüm sertifika işlemlerini Active node'da da yapın:
Active'de reboot yerine sadece reload tercih edin.
İlk deploy işlemini mutlaka Active node'dan başlatın.
İlk deploy bitene kadar bekleyin (30-60 saniye).
Ardından Standby node'da deploy işlemini yapın.
Sertifika sorununu çözdükten sonra güvenlik duvarının sistem yükseltmesini doğru sırayla gerçekleştirin. Kesintisiz geçiş için plan takip edin.
System Upgrade sayfasında "certificate expired" hatası görünmüyor.
7.4.3-315 paketi sisteme yüklenmiş ve doğrulanmış.
Device → Updates → System Upgrade
Standby upgrade bittikten sonra:
Trafik yeni sürümdeki node'a geçer
Şimdi Standby olan eski Active node'u upgrade edin:
"Standby Ready" ve sürümler eşit olmalı.
Manuel failover testi yapın:
Sistem performansını kontrol edin:
Updates → VDB → Download Latest
Updates → SRU → Apply Latest Rules
Updates → GeoDB → Update Geographic Database
VPN kullanıyorsanız, yeni Internal CA ile client sertifikalarını yenileyin
SSL Decryption kullanıyorsanız, CA sertifikalarını kontrol edin
Gelecekteki süresi dolma tarihlerini takip edin
Objects → Certificates'dan eski objeleri tamamen silin ve deploy edin
nginx -s reload veya sistemi reboot edin
show clock ile kontrol edin, NTP'yi düzeltin
Tarayıcı cache'i temizleyin, FDM'den çıkış yapıp girin
Her iki node'da da aynı sertifika işlemlerinin yapıldığından emin olun.
Aylık sertifika durum kontrolleri yapın. 3 ay öncesinden yenileme planlayın.
Internal CA'yı 10 yıl, web server sertifikalarını 5 yıl geçerlilik ile oluşturun.
Mümkünse certificate auto-renewal özelliklerini aktif edin.
Sertifika yenileme işlemlerini planlı bakım pencerelerinde yapın.
İşlem öncesi running-config, startup-config ve cert dosyalarını yedekleyin.
Geri alma prosedürünü önceden hazırlayın ve test edin.
Bu operasyon rehberi gerçek projede yaşanan sorunlar ve çözümler temelinde hazırlanmıştır. Kendi ortamınıza uyarlayarak kullanabilirsiniz.
Cisco FTD/ASA güvenlik duvarınızda sertifika süresi dolması nedeniyle oluşan sistem yükseltme engeli başarıyla çözüldü. Sistem artık yeni sürüme yükseltilebilir durumda.
NGFW-Default-InternalCA 10 yıl geçerlilik ile
DefaultWebserverCertificate yenilendi
Expired obje tamamen kaldırıldı
7.4.3-315 sürümüne geçildi
NovatekCloud olarak Cisco güvenlik duvarı yönetimi, sertifika yenileme ve sistem yükseltme konularında 23+ yıllık deneyimimizle yanınızdayız.