VNX: Errore CAVA VC: 3. 32: Il server 'x.x.x.x' ha restituito l'errore 'FAIL' durante il controllo del file

Durante l'esecuzione del controllo antivirus, nei registri viene visualizzato un errore che indica che il servizio VC non è riuscito a controllarlo:

2016-03-29 11:38:44: VC: 3. 32: Il server 'x.x.x.x' ha restituito l'errore 'FAIL' durante il controllo del file '\root_vdm_id\mount_path\filename.ext'

Il messaggio "FAIL" viene visualizzato quando viene aperta una richiesta di scansione (il servizio VC sul data mover invia una richiesta ai server CAVA) e quando il server CAVA tenta di aprirlo, il file non viene trovato.  Ciò significa che il file è stato eliminato prima di poter essere analizzato.  Ci sono alcuni scenari in cui ciò potrebbe accadere:

• Un modo in cui ciò si verifica è se il file è un cookie, un file temporaneo o un file di blocco.  Microsoft Office, ad esempio, crea file temporanei che seguono il formato ~$<original_filename.xxxx>.  Questi file normalmente scompaiono quando il file viene salvato o chiuso e, se ciò accade rapidamente, il file può scomparire prima di avere la possibilità di essere analizzato, causando il messaggio FAIL nel registro del data mover.  I nomi di file che non superano le scansioni in genere identificano questo come l'origine del problema.
• Un altro modo in cui ciò può verificarsi è se il file ha una "disposizione" speciale su di esso.  In SMB e SMB2 l'utente può impostare una disposizione "delete on close" quando si apre un file.  Se il file a cui si fa riferimento per la scansione viene aperto da un altro utente con questa disposizione impostata, il file viene eliminato prima di poter essere analizzato, causando il messaggio FAIL nei registri del data mover.  Questa opzione può essere visualizzata nelle tracce dei pacchetti osservando le chiamate SMB "Create" o "SetInfo", ma verrà impostata dall'utente che esegue l'eliminazione e probabilmente non dai server CAVA.  Questo può rendere le cose difficili perché il traffico normale deve essere monitorato (non solo il server AV) per determinare chi sta impostando il flag.

La soluzione migliore consiste nell'arrestare l'eliminazione del file (eliminazione del file da parte degli utenti esterni).  Ciò può significare disabilitare l'uso di file temporanei in Office o archiviare altri file temporanei o cookie in una directory locale anziché condivisa.  Se questo non può essere fatto, allora alterare viruschecker.conf per escludere questi tipi di file da controllare modificando la riga 'excl' per escludere ~$*.* (per i file di Office), *.tmp o qualsiasi altra estensione che potrebbe causare questi errori.

viruschecker.conf:CIFSserver=<
Server CIFS sul data mover>
addr=<Server>
CAVA configuratiexcl=~$*.*:*.accdb:*.laccdb:*.ldb:*.mdb:*.pst:*.tmp:????????
maschere=*.*
shutdown=viruschecking

risorse aggiuntive:
https://support.microsoft.com/en-us/kb/211632 (descrizione del modo in cui Word crea i file temporanei)
https://wiki.wireshark.org/SMB2/SMB2_FILE_DISPOSITION_INFO (indirizzi SMB2_FILE_DISPOSITION_INFO "Elimina alla chiusura")