НВЕ: Зведення ОС повідомляє про успішне, але не оновлює пакети ОС після зміни IP-адреси NVE

• Про вразливості системи безпеки (CVE) можна повідомляти про NVE. Для усунення вразливостей вже було застосовано зведення ОС.
• Пакети OS Rollup відображаються як завершені у вкладці Історія avinstaller:

Є дві потенційні причини цієї проблеми. Одна або обидві з цих причин можуть бути присутніми на НВЕ.

Причина 1:

У журналі робочих процесів зведеного оновлення повідомляється, що не вдалося отримати відомості про систему. Він намагається використати неправильну IP-адресу для підключення до NVE та перевірки деталей операційної системи перед оновленням:

nve:~ # cat /usr/local/avamar/var/avi/server_data/package_data/NvePlatformOsRollup_2024-R2-v3.avp_*/workflow.log | grep -A2 "uname"
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a", exit status=255 (error)
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: address=123.123.9.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  os=unknown version=unknown update=unknown arch=unknown
2024-09-20 13:24:27 (-0400) 47106469567160 INFO:  - One or more nodes are not running SLES succeeded

Показана IP-адреса не є поточною IP-адресою пристрою NVE. Це може бути старіша IP-адреса, яка використовувалася раніше.

nve:~ # ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:50:56:BB:B4:63
          inet addr:123.123.0.16  Bcast:123.123.0.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:febb:b463/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2713 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1309 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:492699 (481.1 Kb)  TX bytes:1463814 (1.3 Mb)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:21317 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21317 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5696590 (5.4 Mb)  TX bytes:5696590 (5.4 Mb)

Зведений файл отримує неправильну IP-адресу з файлу /usr/local/avamar/var/probe.xml.

nve:~ # cat /usr/local/avamar/var/probe.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.9.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

При виконанні тієї ж команди з робочого процесу вона не повертається uname -a вихід.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@WRONG_IP_FROM_WORKFLOW.LOG  uname -a

Приклад:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a
nve:~ #

Причина 2:

У журналі робочих процесів зведеного оновлення повідомляється, що не вдалося отримати відомості про систему. Він намагається використовувати правильну IP-адресу для підключення до NVE та перевірки деталей операційної системи перед оновленням, але не отримує правильних даних про ОС:

2024-10-16 10:44:08 (-0400) 47438611020440 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a", exit status=255 (error)
2024-10-16 10:44:08 (-0400) 47438611020440 INFO: address=123.123.0.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  os=unknown version=unknown update=unknown arch=unknown
2024-10-16 10:44:08 (-0400) 47438611020440 INFO:  - One or more nodes are not running SLES succeeded

Об'єкт /etc/ssh/sshd_config містить старий (неправильний IP) у рядку Match Address:

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Запуск uname -a команда з робочого процесу, багаторазово запитує пароль root, навіть якщо використовується правильна IP-адреса та пароль root:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Password:
Password:
Password:

Вхід від імені root з IP-адреси, не визначеної в рядку Match Address для PermitRootLogin не дозволяється.

Якщо знімок NVE не було зроблено до застосування зведення, повторно застосувати зведення неможливо. Якщо знімок VMware доступний, поверніть NVE до знімка, виконайте кроки, описані нижче, і знову застосуйте зведення.

Якщо знімок недоступний, можна застосувати новіший зведений пакет (за наявності) після внесення наведених нижче змін. Якщо було застосовано останній зведений пакет ОС, зачекайте, доки не вийде наступний зведення, і застосуйте його, виконавши наведені нижче дії. Наведені нижче кроки можна використовувати для виправлення обох проблем, описаних у розділі «Причини».

1. Створіть знімок NVE у форматі VMware.
2. Відкрийте сеанс SSH у NVE, увійдіть як адміністратор.
3. Перемкніться на root :

sudo su -

4. Якщо /usr/local/avamar/var/probe.xml існує, відкрийте його за допомогою текстового редактора та переконайтеся, що всі значення конфігурації (IP-адреса, домен пошуку, ім'я хоста) правильні:

vi /usr/local/avamar/var/probe.xml

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="SERVER_SHORT_NAME" userinput_domain="DOMAIN.DOMAIN" userinput_search="DOMAIN.DOMAIN">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="IPv4_ADDRESS" userinput_netmask="SUBNET_ADDRESS" userinput_customhostname="FULLY_QUALIFIED_DOMAIN_NAME"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Приклад:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.0.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

1. Переконайтеся, що файл належить адміністратору: chown admin:admin /usr/local/avamar/var/probe.xml
2. Переконайтеся, що дозволи на доступ до файлів правильні: chmod 644 /usr/local/avamar/var/probe.xml

5. Відкрийте файл sshd_config файл за допомогою vi:

vi /etc/ssh/sshd_config

6. Перейдіть до рядка Match Address і переконайтеся, що поточна IP-адреса визначена в списку IP-адрес, які PermtRootLogin.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.0.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

7. Перезапустіть службу sshd:

systemctl restart sshd

8. Переконайтеся, що команда SSH з робочого процесу повертає правильний вихід uname -a :

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@NVE_IP_ADDRESS  uname -a

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Enter passphrase for key '/root/.ssh/rootid':
Linux nve 4.12.14-122.201-default #1 SMP Tue Mar 12 13:01:34 UTC 2024 (b92bd5a) x86_64 x86_64 x86_64 GNU/Linux

2024-09-20 15:14:58 (-0400) 47419850660520 INFO: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  uname -a", exit status=0 (success)
2024-09-20 15:14:58 (-0400) 47419850660520 INFO: address=127.0.0.1 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  os=SLES version=12 update=5 arch=x86_64
...
2024-09-20 15:15:23 (-0400) 47419850660520 INFO: Installing OS updates via sec_install_os_errata_sles.pl on node set 0.s
...
2024-09-20 15:15:26 (-0400) 47419862858080 INFO: >>> [make_temp_script] 222 very_current_user=root, as_user=root, ssh command is: (perl /space/avamar/repo/temp/NvePlatformOsRollup_2024-R2-v3.avp_1726859540790/tools/sec_install_os_errata_sles.pl /data01/avamar/src/rollup_tmp//sec_os_updates_SLES12SP5-2024-R2-v3.tgz* </dev/null >/tmp/sec_install_os_errata_sles.pl.log 2>&1) >/usr/local/avamar/var/run_command-sysout.7314.47419862858080 2>&1

Знімок VMware можна видалити, як тільки зведення було підтверджено успішно, а оновлення системи буде перевірено. 

Якщо причина, вказана в цій статті, не діє, див.:

• НВЕ: Зведення ОС повідомляє про успішне, але не оновлює пакети ОС при зміні /root/.bashrc
• НВЕ: Зведення ОС завершено, але не оновлено ядро
• НВЕ: Встановлені двійкові версії в базовій системі не збігаються з встановленими версіями upgrade або rollup

========================

• НВЕ: Оновіть або встановіть посібник із сортування несправностей.
• Каденс оновлень безпеки Dell Avamar і NetWorker Operating System (OS) (для перегляду цієї статті потрібен вхід до служби підтримки Dell)
• Віртуальне видання NetWorker (NVE): Як встановити зведений пакет безпеки платформи.