VNX: VC de error de CAVA: 3: 32: El servidor 'x.x.x.x' devolvió el error 'FAIL' al comprobar el archivo

Mientras se ejecuta la comprobación de virus, en los registros se muestra un error que indica que el servicio VC no pudo comprobarla:

2016-03-29 11:38:44: VC: 3: 32: El servidor 'x.x.x.x' devolvió el error 'FAIL' al comprobar el archivo '\root_vdm_id\mount_path\filename.ext'

El mensaje "FAIL" se produce cuando se abre una solicitud de escaneo (el servicio VC en el administrador de transferencia de datos envía una solicitud a los servidores CAVA) y cuando el servidor CAVA intenta abrirla, el archivo no se encuentra.  Esto significa que el archivo se eliminó antes de que se pudiera escanear.  Hay algunos escenarios en los que esto podría suceder:

• Una forma en que esto ocurre es si el archivo era una cookie, un archivo temporal o un archivo de bloqueo.  Microsoft Office, por ejemplo, crea archivos temporales que siguen el formato ~$<original_filename.xxxx>.  Normalmente, estos archivos desaparecen cuando se guardan o cierran y, si esto sucede rápidamente, el archivo puede desaparecer antes de que tenga la oportunidad de ser escaneado, lo que genera el mensaje FAIL en el registro del administrador de transferencia de datos.  Los nombres de archivo que no superan los análisis, por lo general, identifican esto como el origen del problema.
• Otra forma en que esto puede ocurrir es si el archivo tiene una "disposición" especial.  En SMB y SMB2, el usuario puede establecer la disposición "eliminar al cerrar" al abrir un archivo.  Si otro usuario con este conjunto de disposición abre el archivo que se remite para su análisis, el archivo se elimina antes de que se pueda examinar, lo que genera el mensaje FAIL en los registros del administrador de transferencia de datos.  Esta opción se puede ver en los seguimientos de paquetes si se observan las llamadas "Create" o "SetInfo" de SMB, pero la establecerá el usuario que realiza la eliminación y probablemente no los servidores CAVA.  Esto puede dificultar las cosas, ya que se debe monitorear el tráfico normal (no solo el servidor AV) para determinar quién está configurando la marca.

La mejor resolución es detener lo que está eliminando el archivo (los usuarios externos eliminan el archivo).  Esto puede significar deshabilitar el uso de archivos temporales en Office, o almacenar otros archivos temporales o cookies en un directorio local en lugar de uno compartido.  Si esto no se puede hacer, altere viruschecker.conf para excluir estos tipos de archivos de la comprobación modificando la línea 'excl' para excluir ~$*.* (para archivos de Office), *.tmp o cualquier otra extensión que pueda estar causando estos errores.

viruschecker.conf:
CIFSserver=<Servidor CIFS en el administrador de transferencia
>de datos addr=<Servidores>
CAVA configuradosexcl=~$*.*:*.accdb:*.laccdb:*.ldb:*.mdb:*.pst:*.tmp:????????
masks=*.*
shutdown=viruschecking

Recursos adicionales:
https://support.microsoft.com/en-us/kb/211632 (Descripción de cómo Word crea archivos temporales)
https://wiki.wireshark.org/SMB2/SMB2_FILE_DISPOSITION_INFO (SMB2_FILE_DISPOSITION_INFO aborda la función "eliminar al cerrar")