Isilon: Status for gatewaytilslutningsmulighed viser Afbrudt, intern fejl 401 Uautoriserede svarkoder
Summary: Status for gatewayforbindelse vises Afbrudt, og intern fejl 401 Forkerte svarkoder ses (kan rettes af brugeren).
Symptoms
Klyngegatewayens forbindelsesstatus, som fungerede og var tilsluttet tidligere, viser Afbrudt.401 Unauthorized svar ses fra Secure Connect Gateway, der IKKE er relateret til ugyldigt brugernavn og adgangskode.
På Isilon-klynger, der bruger Secure Connect Gateway, isi esrs view viser, at gatewayens forbindelsesstatus er afbrudt. Tidligere fungerede konfigurationen korrekt.
Forsøger at deaktivere og genaktivere isi_esrs_d og isi_rsapi_d Hjælp ikke med at genoprette forbindelsen.
Forsøger at ændre konfigurationen ved hjælp af en username og forsøger at deaktivere gateway til sikker forbindelse (--enabled=false) i håb om at genskabe konfigurationen mislykkes.
En lignende fejl ses også ved udstedelse af isi esrs modify --enabled==false kommando:
Internal error:
ESRSBadCodeError: ESRS Delete Device failed. Error response code from gateway: 401, Unauthorized. Response dictionary was: {{'http_response_code': 401, 'curl_trace': "* Trying 1.2.3.4:9443...\n* TCP_NODELAY set\n* Name '1.2.3.4' family 2 resolved to '1.2.3.4' family 2\n* Local port: 0\n* Connected to 1.2.3.4 (1.2.3.4) port 9443 (#0)\n* ALPN, offering http/1.1\n* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH\n* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384\n* ALPN, server accepted to use http/1.1\n* Server certificate:\n* subject: C=US; ST=MA; L=SO; O=EMC; OU=ESRS; CN=myname\n* start date: Dec 4 12:20:29 2019 GMT\n* expire date: Dec 4 12:20:29 2039 GMT\n* issuer: C=US; ST=MA; L=SO; O=EMC; OU=ESRS; CN=myname\n* SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.\n> DELETE /esrs/v1/devices/ISILON-GW/ELMISLxxxxxxxx HTTP/1.1\r\nHost: 1.2.3.4:9443\r\nUser-Agent: PycURL/7.43.0 libcurl/7.66.0 OpenSSL/1.0.2r-fips zlib/1.2.11\r\nAccept: */*\r\nAuthorization: ISILON-GW:ELMISLxxxxxxxx:keykeykeyGYskKOwNZQg7SGOgC8=,domain=Device\r\nDate: Wed, 04 Nov 2020 19:15:47 GMT\r\n\r\n* Mark bundle as not supporting multiuse\n< HTTP/1.1 401 Unauthorized\r\n< Date: Wed, 04 Nov 2020 19:15:48 GMT\r\n< Server: Apache PivotalWebServer\r\n< Strict-Transport-Security: max-age=31536000; includeSubDomains;\r\n< Content-Security-Policy: frame-ancestors 'self'\r\n< Transfer-Encoding: chunked\r\n< \r\n* Connection #0 to host 1.2.3.4 left intact\n"}}
Hvis 401-meddelelsen indeholder tekststrengen Invalid username and password, gælder denne artikel IKKE.
Cause
Bemærk i svaret ovenfor, at Isilon udsteder en
HTTP DELETE kommando:
DELETE /esrs/v1/devices/ISILON-GW/ELMISLxxxxxxxx
Enhedsnøglen bruges til at godkende denne kommunikation mellem Isilon og gateway til sikker forbindelse:
Authorization: ISILON-GW:ELMISLxxxxxxxx:keykeykeyGYskKOwNZQg7SGOgC8=
Hvis gatewayen blev geninstalleret eller har mistet enhedsnøglen af en anden årsag, mislykkes REST-API-godkendelser ved hjælp af nøglen med en
401 Unauthorized fejl.
Nogle gange, hvis det ikke er muligt at fastslå tilstanden for gateway til sikker forbindelse, kan Dell Support inddrages til at undersøge sagen. Enhedsnøgler går tabt, hvis en gateway geninstalleres, men kan også gå tabt, hvis gatewayen rulles tilbage til et gammelt snapshot (før nøglen blev oprettet eller opdateret). Hvis en gateway til sikker forbindelse løber tør for diskplads, og der tilføjes en ny enhed i løbet af dette tidsrum, kan databasen med enhedsnøgler på gateway til sikker forbindelse desuden ikke udvides.
Resolution
Den nemmeste måde og mest sandsynlige løsning vil være at køre følgende kommandoer for at deaktivere konfigurationen og følge denne med en ny registrering for at generere en ny enhedsnøgle til Isilon. Ikonet --force flag instruerer Isilon om at deaktivere Secure Connect Gateway-tjenester uden først at forsøge at kontakte gatewayen for at afregistrere den.
isi esrs modify --enabled=false --force isi esrs modify --enabled=true --username=DellSupportEmail --password=MYPASS
Hvis disse kommandoer ikke virker, kan Dell Support benyttes til manuelt at rydde nøglen og nulstille kommunikationen mellem gateway til sikker forbindelse og Isilon-klyngen. Åbn en serviceanmodning med henvisning til denne artikel.
En erfaren administrator skal udføre følgende kommandoer for at deaktivere de relevante tjenester på klyngen, for manuelt at deaktivere gateway til sikker forbindelse og for at rydde den eksisterende godkendelsesnøgle på klyngesiden.
- Deaktiver de relevante tjenester, hvis de kører. Disse tjenester repræsenterer dæmoner, der kører tjenesten Gateway til sikker forbindelse og tjenesten REST API til tilslutning til gateway til sikker forbindelse. Deaktivering af disse tjenester påvirker ikke klientens adgang til klyngen.
isi services -a isi_esrs_d disable isi services -a isi_rsapi_d disable
- Gennemtving deaktivering af gateway til sikker forbindelse manuelt.
isi_gconfig -t esrs esrs.enabled=false
- Ryd den nøgle, der er i brug for kommunikation.
isi_gconfig -t esrs esrs.esrs_api_key=""
NOTE: if secondary Gateway is configured, clear the API key for secondary Gateway using command below:
isi_gconfig -t esrs esrs.secondary_esrs_api_key=""
- Aktivér KUN
rsapitjeneste.
isi services -a isi_rsapi_d enable
- Brug de normale kommandoer til at aktivere konfigurationen af gateway til sikker forbindelse.
isi esrs modify --enabled=true --username=DELL-Support-Account --password=MYPASS
- Hvis kommandoen får timeout, mens du venter på et REST-svar , skal du indtaste følgende kommando:
isi --timeout=600 esrs modify --enabled=true --username=DELL-Support-Account --password=MYPASS
- Hvis kommandoen stadig viser fejl, skal du starte et nyt møde på Isilon og kontakte Dell Support.
Disse trin bruges til at genskabe og genoprette kommunikationen mellem Isilon og Secure Connect Gateway.
Additional Information
Hvis den primære node svigter, vælger klyngen en ny primær, og landings-IP'en opdateres til gateway til sikker forbindelse ved hjælp af REST-protokollen . Både tjenesterne "isi_esrs_d" og "isi_rsapi_d" skal køre på alle noderne i klyngen. Den primære vælges ud fra de noder, der er konfigureret i gatewayadgangspuljerne.
Den primære opdages ved at gennemgå logfilerne eller udstede kommandoen nedenfor:
sqlite3 /ifs/.ifsvar/modules/tardis/namespaces/esrs.registered.state.sqlite 'select value from kv_table where key == "esrs_registered_lnn";' 5
I eksemplet ovenfor er den primære knude knude 5. Ved inspektion af IP-adressen fra gatewayadgangspuljen for denne node skal du finde den som den IP-adresse, der bruges til ELM*-klyngelicensen på gateway til sikker forbindelse. Dells supportmedarbejdere kan også se denne IP-adresse i de ServiceLink Secure Connect Gateway-systemer, der bruges til at ringe op til klynger.