Dell Unity: accesso alla condivisione SMB/CIFS non riuscito con token Kerberos di dimensioni superiori a 16 KB
Summary: In Unity OE 5.2.0.0.5.173, gli utenti con token Kerberos di dimensioni superiori a 16 KB potrebbero non essere in grado di accedere alle condivisioni SMB/CIFS ospitate su un server NAS Unity. Il problema si verifica quando l'autenticazione SMB utilizza Kerberos ed è causato da un difetto nel processo di configurazione della sessione SMB che restituisce erroneamente un errore di STATUS_INVALID_PARAMETER per i token Kerberos di grandi dimensioni. Il problema è stato risolto in Unity OE 5.2.1.0.5.013 (5.2 SP1). Fino a quando non è possibile eseguire un aggiornamento, gli utenti interessati possono ridurre le dimensioni del token Kerberos, utilizzare l'autenticazione NTLM o eseguire il failover su un array Unity OE 5.1.x, se disponibile. ...
Symptoms
Dopo l'aggiornamento del sistema Unity a OE 5.2.0.0.5.173, gli utenti con token di autenticazione Kerberos di dimensioni superiori a 16 KB potrebbero non essere in grado di accedere alle condivisioni SMB/CIFS ospitate su un server NAS Unity. Quando si tenta di connettersi alla condivisione, gli utenti potrebbero ricevere un errore di Windows indicante che non è possibile accedere al percorso di rete, anche se il server NAS e la condivisione sono disponibili.
Esempio di errore:
Windows cannot access \\nasservername\share
Check the spelling of the name. Otherwise, there might be a problem with your network.
To try to identify and resolve network problems, click Diagnose.Cause
Questo problema si verifica solo quando vengono soddisfatte tutte le seguenti condizioni:
- L'array Unity è in esecuzione
Unity OE 5.2.0.0.5.173. - L'accesso ai file SMB è configurato per utilizzare l'autenticazione Kerberos.
- L'utente interessato dispone di un token Kerberos di dimensioni superiori a 16 KB.
Il problema è causato da una modifica del codice introdotta in Unity OE 5.2.0.0.5.173 che influisce sull'elaborazione della configurazione della sessione SMB. Durante l'autenticazione, se il token Kerberos supera i 16 KB, Unity restituisce erroneamente un STATUS_INVALID_PARAMETER Errore.
Un ulteriore controllo di convalida aggiunto in questa versione esegue la convalida dei parametri prima di determinare se il token Kerberos deve essere elaborato in più richieste di configurazione della sessione. Di conseguenza, i token Kerberos sovradimensionati vengono rifiutati in modo anomalo, causando l'errore dell'autenticazione SMB e impedendo l'accesso alla share.
Resolution
Correzione
Questo problema è stato risolto in Unity OE 5.2.1.0.5.013. L'aggiornamento a questa versione o a una versione successiva risolve il problema in modo permanente.
Soluzioni alternative
Se non è possibile eseguire un aggiornamento immediato, prendere in considerazione una delle seguenti soluzioni alternative:
- Ridurre le dimensioni del token Kerberos rimuovendo le appartenenze ai gruppi Active Directory non necessarie ed eliminando le voci SIDHistory inutilizzate.
- Utilizzare l'autenticazione NTLM per l'accesso SMB, ad esempio connettendosi al server SMB utilizzando il relativo indirizzo IP.
- Eseguire il failover su un array di ripristino di emergenza (DR) che esegue Unity OE 5.1.x, se tale ambiente è disponibile.
Queste soluzioni alternative consentono di ripristinare l'accesso alla condivisione SMB fino a quando non è possibile aggiornare l'array alla versione fissa di Unity OE.