NVE: OS 롤업이 성공한 것으로 보고되지만 NVE IP 주소 변경 후 OS 패키지가 업데이트되지 않음

• NVE에 대해 CVE(Security Vulnerabilities)가 보고될 수 있습니다. 이 취약성을 해결하기 위해 OS 롤업이 이미 적용되었습니다.
• OS 롤업 패키지는 avinstaller 기록 탭에 완료된 것으로 나열됩니다.

이 문제에는 두 가지 잠재적인 원인이 있습니다. NVE에는 이러한 원인 중 하나 또는 둘 모두가 있을 수 있습니다.

원인 1:

롤업의 워크플로 로그는 시스템 정보를 가져오지 못했다고 보고합니다. 잘못된 IP 주소를 사용하여 NVE에 연결하고 업데이트 전에 운영 체제 세부 정보를 확인하려고 시도합니다.

nve:~ # cat /usr/local/avamar/var/avi/server_data/package_data/NvePlatformOsRollup_2024-R2-v3.avp_*/workflow.log | grep -A2 "uname"
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a", exit status=255 (error)
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: address=123.123.9.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  os=unknown version=unknown update=unknown arch=unknown
2024-09-20 13:24:27 (-0400) 47106469567160 INFO:  - One or more nodes are not running SLES succeeded

표시된 IP 주소는 NVE 어플라이언스의 현재 IP 주소가 아닙니다. 이전에 사용한 이전 IP 주소일 수 있습니다.

nve:~ # ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:50:56:BB:B4:63
          inet addr:123.123.0.16  Bcast:123.123.0.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:febb:b463/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2713 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1309 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:492699 (481.1 Kb)  TX bytes:1463814 (1.3 Mb)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:21317 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21317 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5696590 (5.4 Mb)  TX bytes:5696590 (5.4 Mb)

롤업이 /usr/local/avamar/var/probe.xml에서 잘못된 IP 주소를 가져오고 있습니다.

nve:~ # cat /usr/local/avamar/var/probe.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.9.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

워크플로에서 동일한 명령을 실행할 때 uname -a 출력의 일부입니다.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@WRONG_IP_FROM_WORKFLOW.LOG  uname -a

예:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a
nve:~ #

원인 2 :

롤업의 워크플로 로그는 시스템 정보를 가져오지 못했다고 보고합니다. 올바른 IP 주소를 사용하여 NVE에 연결하고 업데이트 전에 운영 체제 세부 정보를 확인하려고 시도하지만 올바른 OS 세부 정보를 가져오지 못합니다.

2024-10-16 10:44:08 (-0400) 47438611020440 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a", exit status=255 (error)
2024-10-16 10:44:08 (-0400) 47438611020440 INFO: address=123.123.0.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  os=unknown version=unknown update=unknown arch=unknown
2024-10-16 10:44:08 (-0400) 47438611020440 INFO:  - One or more nodes are not running SLES succeeded

이 /etc/ssh/sshd_config 주소 일치 줄에 이전(잘못된 IP)이 포함되어 있습니다.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

실행 uname -a 명령을 실행하면 올바른 IP 주소와 루트 비밀번호를 사용하는 경우에도 루트 비밀번호를 반복적으로 요청합니다.

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Password:
Password:
Password:

PermitRootLogin의 주소 일치 줄에 정의되지 않은 IP 주소에서 루트로 로그인하는 것은 허용되지 않습니다.

롤업을 적용하기 전에 NVE 스냅샷을 만들지 않았다면 롤업을 다시 적용할 수 있는 옵션이 없습니다. VMware 스냅샷을 사용할 수 있는 경우 NVE를 스냅샷으로 되돌리고 아래에 설명된 단계를 수행한 다음 롤업을 다시 적용합니다.

사용할 수 있는 스냅샷이 없는 경우 아래 변경 사항을 적용한 후 최신 롤업을 적용할 수 있습니다(사용 가능한 경우). 최신 OS 롤업이 적용된 경우 다음 롤업이 릴리스될 때까지 기다렸다가 아래 단계를 수행한 후 적용합니다. 다음 단계를 사용하여 원인 섹션에 설명된 두 가지 문제를 모두 해결할 수 있습니다.

1. NVE의 VMware 스냅샷을 생성합니다.
2. NVE에 대한 SSH 세션을 열고admin으로 로그인합니다.
3. 루트로 전환합니다.

sudo su -

4. 만약 /usr/local/avamar/var/probe.xml 가 있는 경우 텍스트 편집기로 열고 구성 값(IP 주소, 검색 도메인, 호스트 이름)이 모두 올바른지 확인합니다.

vi /usr/local/avamar/var/probe.xml

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="SERVER_SHORT_NAME" userinput_domain="DOMAIN.DOMAIN" userinput_search="DOMAIN.DOMAIN">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="IPv4_ADDRESS" userinput_netmask="SUBNET_ADDRESS" userinput_customhostname="FULLY_QUALIFIED_DOMAIN_NAME"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

예:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.0.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

1. 관리자가 파일을 소유하고 있는지 확인합니다. chown admin:admin /usr/local/avamar/var/probe.xml
2. 파일 사용 권한이 올바른지 확인합니다. chmod 644 /usr/local/avamar/var/probe.xml

5. 열기 sshd_config 파일을 사용하여 vi:

vi /etc/ssh/sshd_config

6. Match Address 행으로 이동하여 PermtRootLogin인 IP 주소 목록에 현재 IP 주소가 정의되어 있는지 확인합니다.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.0.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

7. sshd 서비스를 다시 시작합니다.

systemctl restart sshd

8. 워크플로의 SSH 명령이 올바른 uname -a 출력을 반환하는지 확인합니다.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@NVE_IP_ADDRESS  uname -a

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Enter passphrase for key '/root/.ssh/rootid':
Linux nve 4.12.14-122.201-default #1 SMP Tue Mar 12 13:01:34 UTC 2024 (b92bd5a) x86_64 x86_64 x86_64 GNU/Linux

2024-09-20 15:14:58 (-0400) 47419850660520 INFO: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  uname -a", exit status=0 (success)
2024-09-20 15:14:58 (-0400) 47419850660520 INFO: address=127.0.0.1 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  os=SLES version=12 update=5 arch=x86_64
...
2024-09-20 15:15:23 (-0400) 47419850660520 INFO: Installing OS updates via sec_install_os_errata_sles.pl on node set 0.s
...
2024-09-20 15:15:26 (-0400) 47419862858080 INFO: >>> [make_temp_script] 222 very_current_user=root, as_user=root, ssh command is: (perl /space/avamar/repo/temp/NvePlatformOsRollup_2024-R2-v3.avp_1726859540790/tools/sec_install_os_errata_sles.pl /data01/avamar/src/rollup_tmp//sec_os_updates_SLES12SP5-2024-R2-v3.tgz* </dev/null >/tmp/sec_install_os_errata_sles.pl.log 2>&1) >/usr/local/avamar/var/run_command-sysout.7314.47419862858080 2>&1

VMware 스냅샷은 롤업이 성공한 것으로 확인되고 시스템 업데이트가 검증되면 제거할 수 있습니다. 

이 문서의 원인이 적용되지 않는 경우 다음을 참조하세요.

• NVE: OS 롤업이 성공한 것으로 보고하지만 /root/.bashrc가 수정될 때 OS 패키지가 업데이트되지 않음
• NVE: OS 롤업이 완료되었지만 커널을 업그레이드하지 않았습니다.
• NVE: 어플라이언스에 설치된 바이너리 버전이 설치된 업그레이드 또는 롤업 버전과 일치하지 않음

========================

• NVE: 업그레이드 또는 설치 실패 분류 가이드.
• Dell Avamar 및 NetWorker OS(Operating System) 롤업 보안 업데이트 주기(이 문서를 보려면 Dell 지원에 로그인해야 함)
• NVE(NetWorker Virtual Edition): 플랫폼 보안 롤업을 설치하는 방법