VxRail: ESXi-SSH bleibt nach dem nächtlichen Empfehlungsbericht zu 7.0.45x auf dem primären VxRail-Node aktiviert

Dieser Wissensdatenbank-Artikel richtet sich an Kunden, die Sicherheitsbedenken haben, wenn sich der SSH-Service auf ESXi in einem aktivierten Zustand befindet. Es ist möglich, dass die nächtliche Überprüfung des VxRail-Beraterberichts SSH auf dem primären VxRail-Node in einem aktivierten Zustand belässt.
Dies tritt auf, wenn Untermodule der Integritätsprüfung vorübergehend TSM-SSH auf den ESXi-Nodes gleichzeitig aktivieren.

Szenario 1:
Die Integritätsprüfungs-Unterkomponente "Radar" (Teil der VxRail-Integritätsprüfungen, Vorabprüfungen und ADC) umfasst mehrere Module, die Teil der Automatisierung sind.
Es handelt sich um die Module "vsan_disk_utilization_check" und "VxVerify", die miteinander in Konflikt stehen.

Beispiel eines Protokollausschnitts zur Aktivierung von SSH für das Modul "vsan_disk_utilization_check":

Radar.log from VxRail Manager:
2023-06-22 00:20:52,403.403Z INFO [vsan_disk_utilization_check] Running cmd on: hst011.cwf.fr > esxcli vsan health cluster get --test=diskspace|grep % [remote_utils.py:114]

shell.log from primary VxRail node:
2023-06-21T00:20:53.214Z SSH[6061650]: SSH login enabled

Ein Beispiel für einen Protokollausschnitt zur Erkennung des SSH-Status auf allen Nodes, damit VxVerify den SSH-Status nach Abschluss zurücksetzen kann:

VxVerify vxv.log from the VxRail Manager:
2023-06-22 00:20:59-INFO     [host_ssh_check] SSH status for node01.domain.tld is initially enabled

Beispiel-Protokollausschnitt zur Deaktivierung von SSH für Modul "vsan_disk_utilization_check"

Radar.log from VxRail Manager:
2023-06-22 00:21:35,582.582Z INFO [vsan_disk_utilization_check] Host hst011.cwf.fr ran cmd. Response: b'59.53% (145196.93GB of 243916.11GB)     green      170741.28                  219524.50                \n',b'Could not create directory \'/home/tcserver/.ssh\'.\r\nload pubkey "/home/tcserver/.ssh/id_

shell.log from primary VxRail node:
2023-06-21T00:21:36.870Z SSH[6061853]: SSH login disabled

Szenario 2:

Run Quick boot script failed 

2025-01-29T10:02:32.563Z <586bc3767ee3ca82a80f6e3ecac4b0b6> lcm [INFO] <189> NodeSSHManagementService.java enableSSHServiceWithOriginalStatusReturn() (152): SSH state: true

2025-01-29T10:02:32.563Z <586bc3767ee3ca82a80f6e3ecac4b0b6> lcm [ERROR] <189> QuickBootCompatibilityService.java runQuickbootScript() (70): get script Error 

Die beiden Module "vsan_disk_utilization_check" und "VxVerify" laufen parallel voneinander.
Führen Sie beim Aktivieren von SSH den Befehl aus und deaktivieren Sie SSH für "vsan_disk_utilization_check" bereits in VxVerify (vor der Deaktivierung von SSH von vsan_disk_utilization_check), dass der primäre VxRail-Node SSH aktiviert hat.
Am Ende von VxVerify wird versucht, SSH wiederherzustellen oder in einem aktivierten Zustand zu belassen. Das war der Status des SSH-Service beim Start von VxVerify.

Szenario 1:

Es gibt zwei Möglichkeiten, dieses Problem zu beheben: Eine besteht darin, die Konfiguration zu ändern, um die "vsan_disk_utilization_check" zu deaktivieren, und die andere besteht darin, den ADC auf die korrigierte Version zu aktualisieren.

Lösung 1:

su to root
vxrm0:/mystic/radar # cd /mystic/radar
vxrm0:/mystic/radar # grep -i vsan_disk_utilization_check /mystic/radar/conf/profile/advisory-report.yml
    - vsan_disk_utilization_check
vxrm0:/mystic/radar # cp /mystic/radar/conf/profile/advisory-report.yml /home/mystic/advisory-report.bckup
vxrm0:/mystic/radar # sed -i 's/^\( *\)- vsan_disk_utilization_check/#    - vsan_disk_utilization_check/' /mystic/radar/conf/profile/advisory-report.yml
vxrm0:/mystic/radar # grep -i vsan_disk_utilization_check /mystic/radar/conf/profile/advisory-report.yml
#   - vsan_disk_utilization_check

Deaktivieren und validieren Sie den deaktivierten Status für ESXi TSM-SSH auf allen Nodes.

Warten Sie, bis der über Nacht von VxRail "Advisory Report" ausgeführt wird, und überprüfen Sie, ob SSH in einem SSH-deaktivierten Zustand bleibt.

Möglicherweise müssen Sie diese Auflösung erneut anwenden, da /mystic/radar/conf/profile/advisory-report.yml während des ADC-Updates zurückgesetzt wird. 

Lösung 2:

Siehe KB# https://www.dell.com/support/kbdoc/000019890 , um den ADC auf die neueste Version zu aktualisieren, um dieses Problem zu beheben.

Szenario 2:

Führen Sie ein Upgrade von VxRail auf 8.0.330 oder höher durch.