VNX2：NASサーバーで「DC cannot open NETLOGON pipe」というエラーが表示される

このソリューションは、Windows Server 2008以前のドメイン コントローラー(DC)を1台以上使用していて、VMXのNASサーバーに接続している場合に適用されます。このソリューションは、Windows Server 2008 R2以降のドメイン コントローラーには適用されません。

一部のNASサーバーは、VNXシステムをOEバージョン8.1.21.303以降にアップグレードした後に以下のエラー メッセージの影響を受けます。

DC cannot open NETLOGON pipe

これは断続的に発生し、ランダムに複数のNASサーバーに同時または個別に影響を与えますが、常に少なくとも1台にはこのエラーが表示されます。

1315xxxxx60: SMB: 3:[vdma3] 1SMB272 SamLogon[0] DC=DCSRVCPVWSK27 'DC cannot open NETLOGON pipe' NTstatus=WRONG_CREDENTIAL_HANDLE LogonStatus=Capa_ErrorQueryFailed (rSCstatus=-1 pipeClosed=0)

[nasadmin@skxxxxx58xxxx6_cs0 ~]$ server_cifssupport vdma3 -pingdc -compname swdfs01p_new
vdma3: done
PINGDC GENERAL INFORMATION
DC SERVER:
Netbios name: DCSRVCPVWSK26
CIFS SERVER:
Compname: sXXXs01p_new
Domain: an.ad.axxxxxxc.co.uk
Error 1316xxxxx79: vdma3: compname swdfs01p_new DC=DCSRVCPVWSK26 Step='Open NETLOGON Secure Channel' ' ' 'DC cannot open NETLOGON pipe: status=WRONG_CREDENTIAL_HANDLE 

VNXコードでSecure RPC機能を提供する一環として、Microsoft Netlogon機能の仕様に準拠し、MicrosoftのServerCapabilitiesパラメーターに対応した「getDCcapas」機能が導入されました。

ただし、この機能はWindows Serverの対応バージョンにのみ追加されています。この機能は、Windows Server 2008以前には実装されていません。Microsoftドキュメントを参照してください。［MS-NRPC］：Netlogonリモート プロトコル - 7 付録B：製品の動作セクション3.5.4.4.10：
https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-nrpc/0c858a52-732a-43ec-85dd-e44b357c1898。

ServerCapabilitiesパラメーターは、Windows NT、Windows 2000、Windows XP、Windows Server 2003、Windows Vista、またはWindows Server 2008ではサポートされていません。

解決策：
最も安全で長期的なソリューションは、8.1.21.303以降を実行しているVNXシステムに接続しているドメイン コントローラーを、サポートされているバージョンのWindows Serverにアップグレードすることです。それまでは、以下の回避策のセクションを参照してください。

回避策：
Dell EMC VNXシステムのパラメーター「param NTsec.NETLOGON.getDCcapas」は、NASサーバーがDC機能をチェックする方法を制御します。回避策は、パラメーターを変更してこの機能を無効にすることです。

PARAMファイルに新しい行「param NTsec NETLOGON.getDCcapas=0」を追加して、DMの再起動後も変更を維持します。

[root@skxxxxx58xxxx6_cs0 slot_x]# cat param
param quota policy=filesize
param cifs nanoroundoff=1
param cifs acl.retryAuthSid=600
param cifs acl.mappingErrorAction=1
param config cs_external_ip=22.99.58.13
param NDMP concurrentDataStreams=8
param cifs acl.FailOnSDRestoreError=0
param cifs resolver=1
param cifs sendMessage=3
param shadow followdotdot=1
param NTsec NETLOGON.getDCcapas=0    <<<<<<

注：お客様がDC上の古いソフトウェア バージョンを新しいバージョンにアップグレードしたら、VNXでパラメーターを再度有効にする必要があります。

 /nas/bin/.server_config servername -v "param NTsec NETLOGON.getDCcapas=0"