Avamar: Fout Data Domain-tokenverificatie mislukt bij onvoldoende toegangsrechten

Back-upfouten bij het gebruik van op tokens gebaseerde authenticatie van Data Domain Boost

Waargenomen gedrag

• Avamar-client probeert verbinding te maken met het Data Domain-systeem met behulp van een token.
• De verbinding lijkt tot stand te zijn gebracht, maar de back-up wordt vrijwel onmiddellijk beëindigd.
• Het clientlogboek bevat een waarschuwing met resultaatcode 5075 en het bericht "the user has insufficient access rights."
• De back-up meldt een vermissing /ddr_files.xml bestand en is gemarkeerd als onvolledig.
• Het probleem kan slechts van invloed zijn op een subset van klanten; Als elke klant faalt, kan het probleem anders zijn.

Voorbeeld van logfragmenten van een defecte client:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Authenticatie op basis van tokens mislukt door vertaalproblemen met DNS of netwerkadressen

Belangrijkste omstandigheden die de fout veroorzaken

• Data Domain OS-versie 5.7.1.x of hoger is vereist voor tokenauthenticatie.
• De back-upclient moet een oplosbare, volledig gekwalificeerde domeinnaam (FQDN) gebruiken.
• Voorwaartse (hostnaam → IP) en omgekeerde (IP → hostnaam) DNS-lookups voor de client moeten identieke resultaten retourneren op de client, de Avamar-server en het Data Domain-systeem.
• Als een lookup afwijkt of mislukt, valt de client terug op traditionele authenticatie; Op tokens gebaseerde authenticatie mislukt vervolgens met error code 5075 ("the user has insufficient access rights").
• Clients die zich achter een NAT-apparaat bevinden dat het bron-IP-adres herschrijft, verbreken de DNS-consistentie, waardoor dezelfde fout bij onvoldoende toegang ontstaat.

Relevante foutindicator

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Vaststelling "the user has insufficient access rights" Fout bij op tokens gebaseerde verificatie.

Stap-voor-stap oplossing

Volg deze stappen om ervoor te zorgen dat op tokens gebaseerde verificatie werkt tussen Avamar en Data Domain.

• Controleer of de back-upclient, de Avamar-server en het Data Domain-systeem de FQDN (Fully Qualified Domain Name) van de client kunnen oplossen en dat voorwaartse en omgekeerde lookups identieke resultaten opleveren.
• Als een lookup afwijkt, corrigeert u de DNS-vermeldingen of voegt u de juiste /etc/hosts-records toe op de betreffende hosts.
• Controleer of de client zich niet achter een NAT-apparaat bevindt dat het bron-IP-adres herschrijft.
• Nadat DNS is opgelost, voert u opnieuw een back-up uit om te bevestigen dat tokenverificatie is geslaagd.
• Als het probleem zich blijft voordoen, opent u een serviceaanvraag bij Dell Support en verwijst u naar deze KB.

Nslookup vanaf de clientcomputer: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup van de Avamar server: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup van het Data Domain-systeem: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.