Авамар: Помилка аутентифікації токена домену даних із помилкою недостатніх прав доступу

Збої резервного копіювання під час використання автентифікації на основі токена Data Domain Boost

Спостережувана поведінка

• Клієнт Avamar намагається підключитися до системи Data Domain за допомогою токена.
• З'єднання начебто встановлене, але резервне копіювання припиняється майже відразу.
• Журнал клієнта містить попередження з кодом результату 5075 і повідомлення "the user has insufficient access rights."
• Резервна копія повідомляє про зникнення /ddr_files.xml і позначається як неповний.
• Проблема може торкнутися лише певної групи клієнтів; Якщо кожен клієнт зазнає невдачі, проблема може бути різною.

Приклад витягів з журналу від клієнта, який не впорався:

avtar Info <41236>: - Connecting to Data Domain Server name "test-dd-lab3.emc.com" with token:cc343af1edf716d3de8af0ede44cc9ab2285ebce
avtar Info <19156>: - Establishing a connection via token to the Data Domain system with encryption (Connection mode: A:3 E:2)

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10542>: Data Domain server "test-dd-lab3.emc.com" open failed DDR result code: 5075, desc: the user has insufficient access rights
2018-02-05 08:55:44 avtar Error <10509>: Problem logging into the DDR server:'', only GSAN communication was enabled.
2018-02-05 08:55:44 avtar FATAL <17964>: Backup is incomplete because file "/ddr_files.xml" is missing

Помилка автентифікації на основі токена через проблеми з DNS або трансляцією мережевої адреси

Основні умови, що спровокували помилку

• Для автентифікації токена потрібна ОС домену даних версії 5.7.1.x або новішої.
• Резервний клієнт повинен використовувати повністю кваліфіковане доменне ім'я (FQDN), яке можна вирішити.
• Прямий (ім'я хоста → IP) і зворотний (IP → ім'я хоста) DNS-пошук для клієнта має давати однакові результати на клієнті, сервері Avamar і системі Data Domain.
• Якщо будь-який пошук відрізняється або не вдається, клієнт повертається до традиційної автентифікації; Автентифікація на основі токена потім зазнає невдачі з error code 5075 ("the user has insufficient access rights").
• Клієнти, розташовані за пристроєм NAT, який перезаписує IP-адресу джерела, порушують узгодженість DNS, викликаючи ту саму помилку недостатнього доступу.

Відповідний індикатор помилки

2018-02-05 08:55:44 avtar Warning <18125>: Calling DDR_OPEN_VIA_TOKEN returned result code:5075 message:the user has insufficient access rights

Фіксації "the user has insufficient access rights" помилка для автентифікації на основі токена.

Покрокове вирішення

Дотримуйтесь цих кроків, щоб переконатися, що автентифікація на основі токенів працює між Avamar і Data Domain.

• Переконайтеся, що клієнт резервного копіювання, сервер Avamar і система домену даних можуть розпізнавати повне кваліфіковане доменне ім'я клієнта (FQDN), і що прямий і зворотний пошук повертають однакові результати.
• Якщо будь-який пошук відрізняється, виправте записи DNS або додайте відповідні записи /etc/hosts на уражених хостів.
• Переконайтеся, що клієнт не стоїть за пристроєм NAT, який перезаписує його вихідну IP-адресу.
• Після того, як DNS буде виправлено, повторно запустіть резервну копію, щоб підтвердити успішну автентифікацію маркера.
• Якщо проблема не зникає, відкрийте запит на обслуговування в службі підтримки Dell і посилайтеся на цю базу даних.

Nslookup з клієнтської машини: 
 

@linux-testvm1 ~]$ nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

@linux-testvm1 ~]$ nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup з сервера Avamar: 
 

admin@test-av1:~#: nslookup linux-testvm1
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup linux-testvm1.emc.com
...
Non-authoritative answer:
Name:   linux-testvm1.emc.com
Address: 10.46.18.11

admin@test-av1:~#: nslookup 10.46.18.11
...
Non-authoritative answer:
151.18.167.136.in-addr.arpa     name = linux-testvm1.emc.com.

Nslookup із системи Data Domain: 
 

SE@test-dd-lab3## net lookup linux-testvm1
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup linux-testvm1.emc.com
linux-testvm1.emc.com has address 10.46.18.11

SE@test-dd-lab3## net lookup 10.46.18.11
151.18.167.136.in-addr.arpa domain name pointer linux-testvm1.emc.com.