Fehlersuche: Fehler 37 beim Onboarding eines IGEL OS12-Geräts

Während des Onboardings mit dem IGEL Onboarding Service oder mit der One-Time-Password-Methode erhalten Sie die folgende Fehlermeldung: "Could not manage your device because of an internal error (<37>)". Fehler 37 zeigt an, dass das Gerät nicht in der Lage war, die CA-Zertifikate von dem Universal Management Suite (UMS) Server(n) zu erhalten.

Problem

Mögliche Ursachen für Fehler 37 können sein:

Keine HTTPS-Verbindung zum UMS-Server
Das Abrufen der CA-Zertifikate vom UMS-Server ist der erste Schritt des Onboarding-Prozesses, daher kann der Fehler 37 darauf hinweisen, dass das Gerät keine HTTPS-Verbindung zum UMS-Server herstellen kann. Dies kann durch die Konfiguration der Netzwerkumgebung verursacht werden, z. B. durch eine Firewall oder TLS-Inspektion.
CA-Zertifikate können aufgrund einer unvollständigen CA-Kette nicht verifiziert werden
Die heruntergeladenen CA-Zertifikate werden vom Gerät verifiziert, so dass der eFehler 37 auftreten kann, wenn die heruntergeladenen CA-Zertifikate von IGEL OS nicht verifiziert werden können. Dies kann durch eine unvollständige Kette von CA-Zertifikaten verursacht werden, z. B. durch ein fehlendes Zertifikat der Root CA.

Lösung

Keine HTTPS-Verbindung mit dem UMS Server

Um Netzwerkprobleme zu diagnostizieren, verwenden Sie den curlBefehl, das Standard-HTTP(s)-Tool, das in IGEL OS 12/OS 11 und anderen Linux-Betriebssystemen enthalten ist. Führen Sie den folgenden Befehl aus, um CA Zertifikate vom UMS Server herunterzuladen:

CODE

curl --tlsv1.3 --insecure https://<YOUR_UMS_ADDRESS>:<PORT>/device-connector/device/.well-known/est/cacerts

Wenn der Befehl CA-Zertifikate nicht herunterladen kann, haben Sie möglicherweise ein Netzwerk- oder Firewall-Problem. Versuchen Sie, die Firewall-Einstellungen oder die TLS-Inspektion so anzupassen, dass die erforderlichen HTTPS-Verbindungen zugelassen werden.

CA Certificates Cannot Be Verified Due to an Incomplete CA Chain

Um dieses Problem zu beheben, importieren Sie die vollständige CA-Kette wie in Installation einer bestehenden Zertifikatskette für das ICG beschrieben.

Wenn das fehlende Zertifikat zu einer öffentlichen CA gehört, versuchen Sie ein Update auf IGEL OS 12.3.0. oder höher. Diese IGEL OS-Versionen können die CA-Kette automatisch mit den erforderlichen Ausstellerzertifikaten aus dem in IGEL OS 12 enthaltenen Repository öffentlicher CA-Zertifikate vervollständigen.