Dell Unity: El acceso a recursos compartidos SMB/CIFS falla con tokens de Kerberos superiores a 16 KB
Summary: En Unity OE 5.2.0.0.5.173, es posible que los usuarios con tokens de Kerberos de más de 16 KB no puedan acceder a los recursos compartidos SMB/CIFS alojados en un servidor NAS de Unity. El problema se produce cuando la autenticación de SMB utiliza Kerberos y se debe a un defecto en el proceso de configuración de la sesión de SMB que devuelve incorrectamente un error de STATUS_INVALID_PARAMETER para tokens de Kerberos grandes. El problema se resolvió en Unity OE 5.2.1.0.5.013 (5.2 SP1). Hasta que se pueda realizar una actualización, los usuarios afectados pueden reducir el tamaño de su token de Kerberos, utilizar la autenticación NTLM o realizar una conmutación por error a un arreglo de Unity OE 5.1.x, si está disponible. ...
Symptoms
Después de actualizar el sistema Unity a OE 5.2.0.0.5.173, es posible que los usuarios con tokens de autenticación Kerberos de más de 16 KB no puedan acceder a los recursos compartidos SMB/CIFS alojados en un servidor NAS de Unity. Cuando intentan conectarse al recurso compartido, los usuarios pueden recibir un error de Windows en el que se indica que no se puede acceder a la ruta de red, a pesar de que el servidor NAS y el recurso compartido están disponibles.
Error a modo de ejemplo:
Windows cannot access \\nasservername\share
Check the spelling of the name. Otherwise, there might be a problem with your network.
To try to identify and resolve network problems, click Diagnose.Cause
Este problema se produce solo cuando se cumplen todas las condiciones siguientes:
- El arreglo Unity está en ejecución
Unity OE 5.2.0.0.5.173. - El acceso a archivos de SMB está configurado para utilizar la autenticación Kerberos.
- El usuario afectado tiene un token de Kerberos mayor que 16 KB.
El problema se debe a un cambio de código introducido en Unity OE 5.2.0.0.5.173 que afecta el procesamiento de la configuración de la sesión de SMB. Durante la autenticación, si el token de Kerberos supera los 16 KB, Unity devuelve incorrectamente un STATUS_INVALID_PARAMETER Error.
Una comprobación de validación adicional agregada en esta versión realiza la validación del parámetro antes de determinar si el token de Kerberos se debe procesar en varias solicitudes de configuración de sesión. Como resultado, los tokens de Kerberos de gran tamaño se rechazan prematuramente, lo que provoca que la autenticación de SMB falle e impide el acceso al recurso compartido.
Resolution
Corrección
Este problema se resolvió en Unity OE 5.2.1.0.5.013. La actualización a esta versión o a una posterior soluciona permanentemente el problema.
Solución alternativa
Si no es posible realizar una actualización inmediata, considere una de las siguientes soluciones alternativas:
- Reduzca el tamaño del token de Kerberos mediante la eliminación de membresías innecesarias a grupos de Active Directory y la limpieza de entradas de SIDHistory no utilizadas.
- Utilice la autenticación NTLM para el acceso de SMB, por ejemplo, mediante la conexión al servidor SMB mediante su dirección IP.
- Conmutación por error a un arreglo de recuperación ante desastres (DR) que ejecuta Unity OE 5.1.x, si dicho entorno está disponible.
Estas soluciones alternativas pueden ayudar a restaurar el acceso a los recursos compartidos SMB hasta que el arreglo se pueda actualizar a la versión fija de Unity OE.