NVE: BS-Rollup meldet sich als erfolgreich, aber die BS-Pakete wurden nach der Änderung der NVE-IP-Adresse nicht aktualisiert

• Sicherheitslücken (CVEs) können für die NVE gemeldet werden. Es wurde bereits ein BS-Rollup angewendet, um die Sicherheitslücken zu beheben.
• Betriebssystem-Rollup-Pakete werden auf der Registerkarte "Avinstaller History" als abgeschlossen aufgeführt:

Für dieses Problem gibt es zwei mögliche Ursachen. Eine oder beide dieser Ursachen können auf der NVE vorhanden sein.

Ursache 1:

Das Workflowprotokoll des Rollups meldet, dass die Systeminformationen nicht abgerufen werden können. Es wird versucht, die falsche IP-Adresse zu verwenden, um eine Verbindung zur NVE herzustellen und die Betriebssystemdetails vor der Aktualisierung zu überprüfen:

nve:~ # cat /usr/local/avamar/var/avi/server_data/package_data/NvePlatformOsRollup_2024-R2-v3.avp_*/workflow.log | grep -A2 "uname"
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a", exit status=255 (error)
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: address=123.123.9.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  os=unknown version=unknown update=unknown arch=unknown
2024-09-20 13:24:27 (-0400) 47106469567160 INFO:  - One or more nodes are not running SLES succeeded

Die angezeigte IP-Adresse entspricht nicht der aktuellen IP-Adresse der NVE-Appliance. Möglicherweise handelt es sich um eine ältere IP-Adresse, die zuvor verwendet wurde.

nve:~ # ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:50:56:BB:B4:63
          inet addr:123.123.0.16  Bcast:123.123.0.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:febb:b463/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2713 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1309 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:492699 (481.1 Kb)  TX bytes:1463814 (1.3 Mb)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:21317 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21317 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5696590 (5.4 Mb)  TX bytes:5696590 (5.4 Mb)

Das Rollup erhält die falsche IP-Adresse von /usr/local/avamar/var/probe.xml.

nve:~ # cat /usr/local/avamar/var/probe.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.9.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Wenn derselbe Befehl über den Workflow ausgeführt wird, wird er nicht zurückgegeben uname -a sind.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@WRONG_IP_FROM_WORKFLOW.LOG  uname -a

Beispiel:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a
nve:~ #

Ursache 2:

Das Workflowprotokoll des Rollups meldet, dass die Systeminformationen nicht abgerufen werden können. Es wird versucht, die richtige IP-Adresse für die Verbindung mit der NVE zu verwenden und die Betriebssystemdetails vor dem Update zu überprüfen, erhält jedoch nicht die richtigen Betriebssystemdetails:

2024-10-16 10:44:08 (-0400) 47438611020440 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a", exit status=255 (error)
2024-10-16 10:44:08 (-0400) 47438611020440 INFO: address=123.123.0.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  os=unknown version=unknown update=unknown arch=unknown
2024-10-16 10:44:08 (-0400) 47438611020440 INFO:  - One or more nodes are not running SLES succeeded

Die Spalte /etc/ssh/sshd_config enthält die alte (falsche IP) in der Zeile Match Address:

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Das Ausführen des Befehls uname -a aus dem Workflow heraus wiederholt nach dem Root-Kennwort fragt, selbst wenn die richtige IP-Adresse und das richtige Root-Kennwort verwendet werden:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Password:
Password:
Password:

Die Anmeldung als root über eine IP-Adresse, die nicht in der Zeile Match Address für PermitRootLogin definiert ist, ist nicht zulässig.

Wenn kein NVE-Snapshot vor dem Anwenden des Rollups erstellt wurde, gibt es keine Option zum erneuten Anwenden des Rollups. Wenn ein VMware-Snapshot verfügbar ist, setzen Sie die NVE auf den Snapshot zurück, führen Sie die unten beschriebenen Schritte aus und wenden Sie das Rollup erneut an.

Wenn kein Snapshot verfügbar ist, kann ein neueres Rollup angewendet werden (falls verfügbar), nachdem Sie die folgenden Änderungen vorgenommen haben. Wenn das neueste Betriebssystem-Rollup angewendet wurde, warten Sie, bis das nächste Rollup veröffentlicht wird, und wenden Sie es an, nachdem Sie die folgenden Schritte ausgeführt haben. Die folgenden Schritte können verwendet werden, um die beiden im Abschnitt "Ursache" beschriebenen Probleme zu beheben.

1. Erstellen Sie einen VMware-Snapshot der NVE.
2. Öffnen Sie eine SSH-Sitzung zur NVE und melden Sie sich als Administrator an.
3. Wechseln Sie zum Root-Nutzer:

sudo su -

4. Wenn die /usr/local/avamar/var/probe.xml vorhanden ist, öffnen Sie es mit einem Texteditor und stellen Sie sicher, dass die Konfigurationswerte (IP-Adresse, Suchdomain, Hostname) alle korrekt sind:

vi /usr/local/avamar/var/probe.xml

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="SERVER_SHORT_NAME" userinput_domain="DOMAIN.DOMAIN" userinput_search="DOMAIN.DOMAIN">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="IPv4_ADDRESS" userinput_netmask="SUBNET_ADDRESS" userinput_customhostname="FULLY_QUALIFIED_DOMAIN_NAME"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Beispiel:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.0.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

1. Stellen Sie sicher, dass die Datei dem Administrator gehört: chown admin:admin /usr/local/avamar/var/probe.xml
2. Stellen Sie sicher, dass die Dateiberechtigungen korrekt sind: chmod 644 /usr/local/avamar/var/probe.xml

5. Öffnen Sie das Menü sshd_config Datei mit viaus:

vi /etc/ssh/sshd_config

6. Navigieren Sie zur Zeile Match Address, und stellen Sie sicher, dass die aktuelle IP-Adresse in der Liste der IP-Adressen definiert ist, die PermtRootLogin.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.0.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

7. Starten Sie den SSHD-Service neu:

systemctl restart sshd

8. Stellen Sie sicher, dass der SSH-Befehl aus dem Workflow die richtige Ausgabe uname -a zurückgibt:

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@NVE_IP_ADDRESS  uname -a

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Enter passphrase for key '/root/.ssh/rootid':
Linux nve 4.12.14-122.201-default #1 SMP Tue Mar 12 13:01:34 UTC 2024 (b92bd5a) x86_64 x86_64 x86_64 GNU/Linux

2024-09-20 15:14:58 (-0400) 47419850660520 INFO: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  uname -a", exit status=0 (success)
2024-09-20 15:14:58 (-0400) 47419850660520 INFO: address=127.0.0.1 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  os=SLES version=12 update=5 arch=x86_64
...
2024-09-20 15:15:23 (-0400) 47419850660520 INFO: Installing OS updates via sec_install_os_errata_sles.pl on node set 0.s
...
2024-09-20 15:15:26 (-0400) 47419862858080 INFO: >>> [make_temp_script] 222 very_current_user=root, as_user=root, ssh command is: (perl /space/avamar/repo/temp/NvePlatformOsRollup_2024-R2-v3.avp_1726859540790/tools/sec_install_os_errata_sles.pl /data01/avamar/src/rollup_tmp//sec_os_updates_SLES12SP5-2024-R2-v3.tgz* </dev/null >/tmp/sec_install_os_errata_sles.pl.log 2>&1) >/usr/local/avamar/var/run_command-sysout.7314.47419862858080 2>&1

Der VMware-Snapshot kann entfernt werden, sobald der erfolgreiche Rollup-Vorgang bestätigt und die Systemaktualisierung validiert wurde. 

Wenn die Ursache in diesem Artikel nicht zutrifft, finden Sie weitere Informationen unter:

• NVE: Betriebssystem-Rollup meldet als erfolgreich, aber es wurden keine Betriebssystempakete aktualisiert, wenn /root/.bashrc geändert wird
• NVE: BS-Rollup abgeschlossen, aber Kernel nicht aktualisiert
• NVE: Installierte Binärversionen in der Appliance stimmen nicht mit installierten Upgrade- oder Rollupversionen überein

========================

• NVE: Triage-Handbuch für Upgrade- oder Installationsfehler
• Rollup-Sicherheitsupdateintervall für Dell Avamar- und NetWorker-Betriebssystem (BS) (Anmeldung beim Dell Support erforderlich, um diesen Artikel anzuzeigen)
• NetWorker Virtual Edition (NVE): So installieren Sie das Plattformsicherheits-Rollup.