NetWorker: Identifiera klienter som kräver rensning av peer-information "Error-SSL protocol failure"

I vissa situationer kan NetWorker-serverns daemon.raw kan översvämmas av anslutningsfel vid Generic Security Service (GSS) mellan två NetWorker-system:

MM/DD/YYYY HH:MM:SS  5 13 9 3635926784 26586 0 NSR_HOSTNAME nsrexecd SSL critical Unable to complete SSL handshake with nsrexecd on host 'CLIENT_NAME': An error occurred as a result of an SSL protocol failure. To complete this request, ensure that the certificate attributes for CLIENT_NAME and NSR_NAME match in the NSRLA database on each host. 

Eller

MM/DD/YYYY HH:mm:SS 5 12 10 11256 2900 0 NSR_NAME nsrexecd GSS critical An authentication request from CLIENT_NAME was denied. The 'NSR peer information' provided did not match the one stored by NSR_NAME. To accept this request, delete the 'NSR peer information' resource with the following attributes from NSR_NAME's NSRLA database: name: CLIENT_NAME; NW instance ID: CLIENT_ID; peer hostname: CLIENT_NAME 
MM/DD/YYYY HH:mm:SS 0 0 0 6384 6380 0 NSR_NAME nsrd NSR info Authentication Warning: Conflicting NSR peer information resources detected for host 'CLIENT_NAME'. Please check server daemon log for more information. 

Från NetWorker-servern kör du följande kommandotolk som rot eller administratör:

nsradmin -C -y -p nsrexecd "nsr peer information"

Se: NetWorker: Så här rensar du matchningsfel för NSR-peerinformation automatiskt med hjälp av nsradmin -C

Det här kommandot kontrollerar varje peer-certifikatresurs i NetWorker-serverns nsrladb och försöker rätta till det. Den här åtgärden måste också köras på de klienter som rapporterar det här problemet. Detta kan inträffa för många klienter och det blir svårt att isolera alla olika värdar som kräver korrigering.

Följande process kan användas för att avgöra vilka system som kräver körning nsradmin -C -y eller kan kräva manuell radering av peer-information.

Linux-värdar:

1. Rendera daemon.raw:

nsr_render_log -S "1 weeks ago" /nsr/logs/daemon.raw > /nsr/logs/daemon.out 2<&1

2. Skapa en fil som endast innehåller anslutningsfelen för GSS-autentisering:

cat /nsr/logs/daemon.out | grep "SSL handshake" > GSS_error.out

Eller:

cat /nsr/logs/daemon.out | grep "NSR peer information" > GSS_error.out

3. Skapa en fil som endast innehåller klientnamnen från GSS-utdatafilen:

cat GSS_error.out | awk {'print $24'} | sort > client.out

Det här kommandot använder Linux-kommandona awk och print för att endast skriva ut column som innehåller klientnamnet från det fullständiga felmeddelandet för SSL-anslutningen. Beroende på filter number används ändrar du utskriftsnumret för att mata ut klientnamnen korrekt om exemplet ovan inte returnerar de förväntade resultaten.

4. Granska filen med det unika kommandot för att endast mata ut en instans av var och en av klienterna som rapporterar det här problemet:

cat client.out | uniq

Exempel:

[root@nsrserver logs]# nsr_render_log daemon.raw > daemon.out 2<&1
[root@nsrserver logs]# cat daemon.out | grep "SSL handshake" > GSS_error.out                
[root@nsrserver logs]# cat GSS_error.out | awk {'print $24'} | sort > client.out
[root@nsrserver logs]# cat client.out | uniq                              
'client1':
'client2':
'client3':
'client4':
'client5':
'client6':

Ovanstående värdnamn har ändrats; I stället för hundratals poster i daemon.rawrapporterar endast en post för varje klient det här beteendet.

5. Anslut till klientsystemen som rapporteras med SSH eller RDP (Remote Desktop Protocol) och kör via en kommandotolk i rot/administration för att köra:

nsradmin -C -y -p nsrexecd "nsr peer information"

Om du kör det här kommandot på både servern och klienten bör du se till att nsrladb på varje system innehåller rätt peer-certifikatinformation. Om ett matchningsfel upptäcks tas certifikatet bort och nästa anslutningsförsök mellan servern och klienten bör generera ett nytt.

Den nsradmin Kommandot visar vilka värdar som har ett matchningsfel och vilken åtgärd som vidtogs i utdata.

Manuell borttagning av peer-information beskrivs i artikeln NetWorker: Åtgärda inkonsekvent NSR-peer-information

6. Utdatafilerna kan tas bort när de inte längre behövs:

rm -rf filename

Windows-värdar:

1. Öppna en Windows PowerShell-kommandotolk som administratör.
2. Ändra kataloger till NetWorker-loggkatalogen:

cd "C:\Program Files\EMC NetWorker\nsr\logs"

Exemplet förutsätter att standardinstallationsplatsen används. Om du har installerat NetWorker på en annan plats ändrar du kommandot i enlighet med detta.

3. Rendera daemon.raw:

nsr_render_log -S "1 weeks ago" daemon.raw > daemon.out 

4. Skapa en fil som endast innehåller anslutningsfelen för GSS-autentisering:

elect-String -Path .\daemon.out -pattern "SSL handshake" > GSS_error.out

Eller:

Select-String -Path .\daemon.out -pattern "NSR peer information" > GSS_error.out

5. Generera utdata som visar unika system som rapporterar GSS-autentiseringsfel:

Get-Content .\GSS_error.out | %{ $_.Split(' ')[9]; } | Sort | Unique

PS C:\Program Files\EMC NetWorker\nsr\logs> Get-Content .\GSS_error.out | %{ $_.Split(' ')[9]; } | Sort | Unique
13120
13932
2808
2828
2856
2900
2920
2956
5716
6088
6328
6380
6772
6852
8196
9388
networker-mc.emclab.local
redhat.emclab.local
winsrvr.emclab.local

6. Anslut till klientsystemen som rapporterats med SSH eller RDP och kör via en kommandotolk i rot/administration:

nsradmin -C -y -p nsrexecd "nsr peer information"

Om du kör det här kommandot på både servern och klienten bör du se till att nsrladb på varje system innehåller rätt peer-certifikatinformation. Om ett matchningsfel upptäcks tas certifikatet bort och nästa anslutningsförsök mellan servern och klienten bör generera ett nytt.

Den nsradmin Kommandot visar vilka värdar som har ett matchningsfel och vilken åtgärd som vidtogs i utdata.

Manuell borttagning av peer-information beskrivs i artikeln NetWorker: Åtgärda inkonsekvent NSR-peer-information

7. Utdatafilerna kan tas bort när de inte längre behövs.