NVE: OS Rollup raportoi onnistuneeksi, mutta ei päivittänyt käyttöjärjestelmäpaketteja NVE:n IP-osoitteen muutoksen jälkeen

• Tietoturvahaavoittuvuudet (CVE) voidaan raportoida NVE:tä vastaan. Haavoittuvuuksien korjaamiseksi on jo käytetty OS Rollup -käyttöjärjestelmää.
• OS Rollup -paketit näkyvät valmiina avinstallerin Historia-välilehdessä:

Tähän ongelmaan on kaksi mahdollista syytä. Yksi tai molemmat näistä syistä voivat esiintyä NVE: ssä.

Syy 1:

Koonnin työnkulkuloki ilmoittaa, että se ei saa järjestelmätietoja. Järjestelmä yrittää muodostaa yhteyden NVE:hen väärän IP-osoitteen avulla ja tarkistaa käyttöjärjestelmän tiedot ennen päivitystä:

nve:~ # cat /usr/local/avamar/var/avi/server_data/package_data/NvePlatformOsRollup_2024-R2-v3.avp_*/workflow.log | grep -A2 "uname"
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a", exit status=255 (error)
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: address=123.123.9.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  os=unknown version=unknown update=unknown arch=unknown
2024-09-20 13:24:27 (-0400) 47106469567160 INFO:  - One or more nodes are not running SLES succeeded

Näkyvä IP-osoite ei ole NVE-laitteen nykyinen IP-osoite. Se voi olla vanhempi aiemmin käytetty IP-osoite.

nve:~ # ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:50:56:BB:B4:63
          inet addr:123.123.0.16  Bcast:123.123.0.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:febb:b463/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2713 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1309 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:492699 (481.1 Kb)  TX bytes:1463814 (1.3 Mb)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:21317 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21317 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5696590 (5.4 Mb)  TX bytes:5696590 (5.4 Mb)

Koontiversio hakee väärän IP-osoitteen hakemistosta /usr/local/avamar/var/probe.xml.

nve:~ # cat /usr/local/avamar/var/probe.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.9.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Kun sama komento suoritetaan työnkulussa, se ei palaa uname -a tuotos.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@WRONG_IP_FROM_WORKFLOW.LOG  uname -a

Esimerkki:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a
nve:~ #

Syy 2:

Koonnin työnkulkuloki ilmoittaa, että se ei saa järjestelmätietoja. Se yrittää muodostaa yhteyden NVE:hen oikean IP-osoitteen avulla ja tarkistaa käyttöjärjestelmän tiedot ennen päivitystä, mutta ei saa käyttöjärjestelmän tietoja:

2024-10-16 10:44:08 (-0400) 47438611020440 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a", exit status=255 (error)
2024-10-16 10:44:08 (-0400) 47438611020440 INFO: address=123.123.0.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  os=unknown version=unknown update=unknown arch=unknown
2024-10-16 10:44:08 (-0400) 47438611020440 INFO:  - One or more nodes are not running SLES succeeded

pikanäppäimellä /etc/ssh/sshd_config sisältää vanhan (väärän IP-osoitteen) Vastaavuusosoite-rivillä:

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Suorittaminen uname -a Työnkulun komento pyytää toistuvasti root-salasanaa, vaikka käytettäisiin oikeaa IP-osoitetta ja root-salasanaa:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Password:
Password:
Password:

Kirjautuminen pääkäyttäjänä IP-osoitteesta, jota ei ole määritetty PermitRootLoginin Match Address -rivillä, ei ole sallittua.

Ellei NVE-tilannevedosta ole tehty ennen koonnin käyttöönottoa, koontia ei voi ottaa uudelleen käyttöön. Jos VMware-tilannevedos on käytettävissä, palauta NVE tilannevedokseen, suorita alla kuvatut vaiheet ja ota koonti uudelleen käyttöön.

Jos tilannevedosta ei ole käytettävissä, uusi koontiversio voidaan ottaa käyttöön (jos käytettävissä) alla olevien muutosten jälkeen. Jos uusin käyttöjärjestelmäkokoelma on otettu käyttöön, odota, että seuraava koontiversio julkaistaan, ja ota se käyttöön suoritettuasi seuraavat vaiheet. Seuraavien ohjeiden avulla voidaan korjata molemmat Syy-osassa kuvatut ongelmat.

1. Luo VMware-tilannevedos NVE:stä.
2. Avaa SSH-istunto NVE: hen, kirjaudu sisään järjestelmänvalvojana.
3. Vaihda pääkäyttäjään:

sudo su -

4. Jos /usr/local/avamar/var/probe.xml on olemassa, avaa se tekstieditorilla ja varmista, että kaikki määritysarvot (IP-osoite, hakuverkkotunnus, isäntänimi) ovat oikein:

vi /usr/local/avamar/var/probe.xml

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="SERVER_SHORT_NAME" userinput_domain="DOMAIN.DOMAIN" userinput_search="DOMAIN.DOMAIN">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="IPv4_ADDRESS" userinput_netmask="SUBNET_ADDRESS" userinput_customhostname="FULLY_QUALIFIED_DOMAIN_NAME"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Esimerkki:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.0.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

1. Varmista, että tiedosto on järjestelmänvalvojan omistuksessa: chown admin:admin /usr/local/avamar/var/probe.xml
2. Varmista, että tiedoston suojausasetukset ovat oikein: chmod 644 /usr/local/avamar/var/probe.xml

5. Avaa sshd_config tiedostoa käyttäen vi:

vi /etc/ssh/sshd_config

6. Siirry Match Address -riville ja varmista, että nykyinen IP-osoite on määritetty IP-osoitteiden luettelossa, jotka PermtRootLogin.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.0.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

7. Käynnistä sshd-palvelu uudelleen:

systemctl restart sshd

8. Varmista, että työnkulun SSH-komento palauttaa oikean uname -a - tuloksen:

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@NVE_IP_ADDRESS  uname -a

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Enter passphrase for key '/root/.ssh/rootid':
Linux nve 4.12.14-122.201-default #1 SMP Tue Mar 12 13:01:34 UTC 2024 (b92bd5a) x86_64 x86_64 x86_64 GNU/Linux

2024-09-20 15:14:58 (-0400) 47419850660520 INFO: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  uname -a", exit status=0 (success)
2024-09-20 15:14:58 (-0400) 47419850660520 INFO: address=127.0.0.1 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  os=SLES version=12 update=5 arch=x86_64
...
2024-09-20 15:15:23 (-0400) 47419850660520 INFO: Installing OS updates via sec_install_os_errata_sles.pl on node set 0.s
...
2024-09-20 15:15:26 (-0400) 47419862858080 INFO: >>> [make_temp_script] 222 very_current_user=root, as_user=root, ssh command is: (perl /space/avamar/repo/temp/NvePlatformOsRollup_2024-R2-v3.avp_1726859540790/tools/sec_install_os_errata_sles.pl /data01/avamar/src/rollup_tmp//sec_os_updates_SLES12SP5-2024-R2-v3.tgz* </dev/null >/tmp/sec_install_os_errata_sles.pl.log 2>&1) >/usr/local/avamar/var/run_command-sysout.7314.47419862858080 2>&1

VMware-tilannevedos voidaan poistaa, kun koonnin onnistuminen on vahvistettu ja järjestelmän päivitys on vahvistettu. 

Jos tässä artikkelissa mainittua syytä ei ole, katso:

• NVE: OS Rollup -kooste raportoi onnistuneeksi, mutta ei päivittänyt käyttöjärjestelmäpaketteja, kun /root/.bashrc on muokattu
• NVE: OS Rollup valmis, mutta ydintä ei päivitetty
• NVE: Laitteeseen asennetut binaariversiot eivät vastaa asennettuja päivitys- tai koontiversioita

========================

• NVE: Päivitys- tai asennusvirheen triage-opas.
• Dell Avamarin ja NetWorker Operating System (OS) Rollup Security Update -päivitysväli (tämän artikkelin tarkasteleminen edellyttää kirjautumista Dell-tukeen)
• NVE (NetWorker Virtual Edition): Platform Security Rollup -kokoelman asentaminen.