【Ask the Expert】エキスパートに聞こう！ESRSのすべて

連日のように報じられている企業の情報漏洩事件。
企業・組織における情報セキュリティマネージメントについて考えることは避けては通れない時代です。

そんな中『インターネット経由でデータセンター内の機器にリモート接続できる環境を構築させてください』と言われても…
『ホントに大丈夫なの？』と二の足を踏んでしまうお気持ちは非常に理解できます。
むしろ正常な反応だとさえ思います。

EMCが提供するEMC Secure Remote Support(ESRS)は実際すでに世界中でたくさんのお客様にご利用いただいています。
『インターネット経由＝危険』とまでは思ってなくてもESRSに一抹の不安を感じている方は是非その不安についてお聞かせください。
(もしかしたら一番気になる？)セキュリティーに関する部分等に関しては、その機密性により社内でも公開されていないものが実際数多くあります。
全てに関してご期待に応えることはできないかも知れませんが、できる限り等身大のESRSを知っていただだける機会になればと考えています。

これから導入を検討される方にもすでに導入されている方にもこれを機に『ESRSリテラシー』を高めていただける
そんなディスカッションができればと思っています。

お世話になります。

4man10と申します。

ESRSの仕組みを紹介している”ご提供できる範囲”でのプレゼンテーション

資料はございませんでしょうか。

サービスの特徴や機器構成例など一般的な概要の範囲で構いません。

出来ればプリＳＥ向けのボリューム内容で英語のものが望ましいです。

宜しくお願い致します。

ESRSの概要を説明しているプレゼンテーションファイル資料を添付させていただきました。

英語のものをご希望されていましたので、英語と日本語の両方で書かれたものを添付させていただいております。（内容は同じです。）

また、下記リンクからESRSのデモをご覧いただくことができます。

http://japan.emc.com/collateral/demos/microsites/support/emc-esrs/ESRS_preloadanim.swf

Flashファイルですので、ダウンロードしてローカルで再生することもできます。

こちらに関しましては、残念ながら日本語版はございません。

ESRSの導入を考えているのですが、以下の2点についてご教示いただけないでしょうか。

1.ESRS Gateway ClientとESRS IP Client for VNXの違いについて

　　Gateway ClientはVNX File/Unified 、 VNX Blockの場合にはIP Client for VNXを導入するという認識なのですが、

　　この認識であっているでしょうか。また、その際に具体的にどのような点が異なるのでしょうか。

2.ESRS Gateway ClientをVNX Blockに導入できるかどうか

　　今回、Block onlyの環境で、ESRSの導入を考えております。上記の質問1の認識が正しい場合、

　　VNX Block にもESRS Gateway Clientを導入することはできますでしょうか。

以上、よろしくお願いいたします。

ご質問ありがとうございます。回答させていただきます。

1.ESRS Gateway ClientとESRS IP Client for VNXの違いについて

　基本的にはご認識の通りですが、正確には下記のようになります。
　

　【ESRS Gateway Client】
　VNX File/Unifiedの他にSymmetrix、Connectrix、VPLEXなど多くのEMC製品をサポート
　ただしVNX Block onlyの環境では、Callhome（エラー監視）には対応しておりません。

　【ESRS IP Client for VNX】
　CLARiiON, AX4-5, VNX Block, VNX File, VNX Unified, VG2, VG8をサポート

2.ESRS Gateway ClientをVNX Blockに導入できるかどうか

　リモート接続のみという条件付きであれば問題ありませんが、上述の通りCallhomeには対応しておりません。
　VNX Blockの監視には、ESRS IP Client for VNXに同梱されているUdoctorというソフトウェアが必要なためです。
　VNX File/Unifiedの場合は、Control StationにUdoctorがInstallされており、そこからエラーを上げるため
　Gateway Client, IP Client for VNXどちらでも導入可能です。
　よって、VNX Block onlyの環境では、ESRS IP Client for VNXの導入を推奨しております。

以上、よろしくお願い致します。

初めまして、2点質問がありますので教えてください。
EMCパートナーで、サードバーティボックスにESRS経由で接続する機会があります。

1.ESRS回線が不安定
　CECTはすべてパスしており、ESRS接続はできますが、
　セッションが不安定でよく切断されてしまいます。
　障害時にEMCにサービスリクエスト作成すると、
　EMCエンジニアは接続し、回線切断もなく作業できているようです。
　Symmetrixは比較的に安定していますが、VNXは回線品質に悩まされる事が多いです。
　対策方法はありますか？

2.RSA認証でUser Nameの桁あふれ
　EMCRemoteのバージョンを6から7にアップグレードしたところ、
　RSA認証が必要になりました。
　私はEMCパートナーの為、User Nameはメールアドレスを使用しています。
　User Nameが長いため、桁あふれしてしまい使用できません。
　本件のEMCRemoteのRSA認証だけでなく、他の部分でも桁あふれの場合があります。
　この場合の対策方法はありますか？

miumiuさん

1. について

回線の話、となると、お客様NW環境をご確認いただく、といった事しかできないのが現状です。

しかし、例えば、NWの視点で言えば、

GW-->EMC間、GW-->Storage間で、Debug Logを仕掛けることが可能ですので、Debug LogとWireshark等を駆使すれば、打開策が見えるかもしれません。

また、VNXに関しては、GUIの操作が不安定なのでしょうか？

GUIの操作に限れば、Unisphere Clientのご使用が良いかと思います。On ArrayのJavaを使用すると、操作が不安定になることは発生しえます

※不安定の意図、が捉えきれていなければ、ご指摘ください

KB 15086 : “How to enable verbose logging.”

https://support.emc.com/kb/15086

2. について

EMCRemoteでは、7.04からのRSA機能のようです。

EMCRemoteの7.02.04では、幸いこの機能は、有していないため、一時的なWorkaroundとしては、7.02.04または、6.xへのDowngradeを推奨いたします。※6.xはwindows7環境でもrun as administratorにて動作いたします。

宜しくお願いします。

ESRS GateWay サーバが停止した際に、ESRS Missing GateWay Alarm が

発生するかと思いますが、この検出は即時なのでしょうか？

また、サーバ起動した際に、Service Link 上で復旧を認識するタイミングは即時なのでしょうか？

可能であれば、ESRS Missing Dvice Alarm でもどのように死活検出するのか

教えていただければと思います。

Mana.ixさん

返信ありがとうございます。

ESRS回線品質については、テラターム(CUI)操作でもよく切断されます。
127.1.1.1のIPアドレスが割り振られ、ログインしようとすると、
一瞬"Active"になるのですが、すぐに"Idle"になり切断します。
または、操作中に突然切断します。

追加の質問ですが、Policy Manager導入のお客様で、
ESRS接続を試みると、お客様が承認作業していないのに、
すぐに"Customer Denied Access"となります。
Gatewayサーバと、Policy Managerのサーバリブートで解決します。
こちらの問題についても、対策方法はありますか？

はっきりとした確証があるわけではないですが、MTUのサイズが関係している可能性があるかもしれません。
つまりGW - EMC間でフラグメントが発生していて、そのことが影響していることが考えられます。
Symmetrixが安定していてVNXが不安定だということとは合致しませんが…

これはお客様のinternet部分の問題でもEMC側の環境の問題でもなく、いわゆる『WAN』上で知らないうちに
フラグメントしているかもしれないということです。

pingコマンドでフラグメントを禁止にしてMTUの最適値を探してみて設定してみるのも一手かと思います。

PolicyManagerの方に関してはPolicyManagerのサービスが落ちているのかもしれません。

("EMC ESRS-IP Policy Manager"と"OpenDS")

PolicyManager(以下PM)が構成されているGateway(以下GW)はsession requestに対するアクションをPMに問い合わせに行きます。
その時PMが存在していなければGWにcacheされている情報をもとにアクションします。
"Ask for Approval"が設定されている場合は、本来メールで顧客に承認依頼を出しますが
PMのサービスが落ちている状態では問い合わせができないので"Customer Denied Access"を返します。
PMのサーバそのものがダウンしているときも同様です。

また、通常何も設定していないデフォルト状態では"Ask for Approval"のタイムアウト値は5分に設定されております。
この場合、5分以内にお客様の方で承認ができない場合は"Customer Denied Access"となってしまいます。

以下のKBにタイムアウト値を変更するknowledgeがありますので、必要に応じて参照いただければと思います。
http://support.emc.com/kb/12363

toritoriさん

ESRS Gateway Clientサーバは、30秒ごとにEMC側サーバへハートビート・ポーリングを行い、
Gateway Clientから15分間応答がない場合、ミッシング・ステータスとして検知されます。
この後、Service RequestがSeverity:1として作成されます。（HA構成の場合はSeverity:2）

Gateway Clientは管理している各デバイスに対し、60分ごとにポーリングを行います。
応答がない場合、次のポーリングは15分間隔になり、1回目の15分間隔のポーリングが失敗すると
ミッシング・ステータスとして検知されます。（=合計75分間）
Device MissingのService RequestはSeverity:2として作成されます。

Missing状態から復旧した場合も同様に、ポーリングのタイミングでステータス復旧を検知します。

ただしMissingを検知してからService Requestができるまで、及びService Link上のステータスが変化するまでには
システム上、多少のタイムラグがあることにご注意ください。

Shinya Ikutaさん、返信ありがとうございます。

WAN 上におけるフラグメントが起因しているのでは？とのことですが、
ESRS を導入されているほとんどのお客様で接続が切れる事象を確認しております。

そこで伺いたいのですが、CECTがすべてパスしている環境下で、
EMC社エンジニアがESRSにてボックスに接続した時に、
回線が切れやすかった。といった事例はありますか？
※ Ikuta さんはそのような経験がないですか？
　 事例がある場合、現場エンジニアの具体的な対策を教えてください。

ESRSを導入されているほとんどのお客様で発生しているのですね。

EMCのエンジニアでは発生していないようだとのはじめの書き込みにもありますとおり、私自身あまり経験がありません。

先ほどお伝えしたMTUの件は社内で起こった際の対処法でした。。

正直申しあげましてPartnerの方々がどのようにしてESRSを利用しているのか具体的なオペレーションはよくわかりませんが、

ESRSでRemote接続を試みる場合はEMCのネットワークからsession requestを出す必要があるはずなので

Partnerの方たちがRemote接続を試みる場合も最初にEMCのネットワークに入るためのオペレーションが必要になるかと思います。

その後お客様先のdeviceに接続する部分に関してはEMC社内でのオペレーションと大差ないのではないかと思います。

となるとEMCのネットワークに入るためのオペレーションで何かsessionに影響することが起こっている可能性があるかと思われます。

toritoriさん

補足いたします。

GW MissingのRuleは、ESRS IP Client for VNXおよびDevice Client (i.e. ESRS on Control Station)も同様で、15分のNW Timeoutです　（ただし、常時Pollingの間隔は、Productにより異なる）

いつもお世話になっております。

ESRS GatewayClientServerで既にManagedとなっているBoxのPartyIDの変更をした場合のリモートサポートサービスについて確認をさせてください。

サイトAに設置されたESRS GatewayClientServer０Aで既にManagedとなっているBox０１（PartyIDはサイトAで登録済み）があり、

将来、このBox０１をサイトBに設置されたESRS GatewayClientServer０BにてManagedとさせるためにはBox０１のPartyIDの変更が

発生しますが、Box０１のPartyIDをサイトBに変更後でもサイトAに設置されたESRS GatewayClientServer０AでManagedとしたまま

継続してリモートサポートサービスは提供されるのでしょうか？

Box０１に対するリモートサポートサービスの中断時間は、サイトAに設置されたESRS GatewayClientServer０AでUnManageとした時間からサイトBに設置されたESRS GatewayClientServer０BにてManagedとする間の時間だけとなりますでしょうか？