Isilon. В поле «Gateway Connectivity Status» отображается «Disconnected, Internal Error 401 Unauthorized response codes»
Summary: В поле Состояние подключения шлюза отображается значение Отключено, и отображается внутренняя ошибка 401 Отображаются коды несанкционированного ответа (исправляется пользователем).
Symptoms
В поле Cluster Gateway Connectivity Status, который ранее был рабочим и подключен, отображается Отключено.401 Unauthorized От шлюза Secure Connect Gateway видны ответы, которые НЕ связаны с недействительными именем пользователя и паролем.
В кластерах Isilon, использующих Secure Connect Gateway, isi esrs view показывает, что Gateway Connectivity Status — отключено. Ранее конфигурация работала правильно.
Попытки отключения и повторного включения isi_esrs_d и isi_rsapi_d Не помогают восстановить подключение.
Попытка изменить конфигурацию с помощью команды username и пытается отключить Secure Connect Gateway (--enabled=false) в надежде на повторное создание конфигурации не удастся.
Аналогичная ошибка также наблюдается при выполнении команды isi esrs modify --enabled==false :
Internal error:
ESRSBadCodeError: ESRS Delete Device failed. Error response code from gateway: 401, Unauthorized. Response dictionary was: {{'http_response_code': 401, 'curl_trace': "* Trying 1.2.3.4:9443...\n* TCP_NODELAY set\n* Name '1.2.3.4' family 2 resolved to '1.2.3.4' family 2\n* Local port: 0\n* Connected to 1.2.3.4 (1.2.3.4) port 9443 (#0)\n* ALPN, offering http/1.1\n* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH\n* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384\n* ALPN, server accepted to use http/1.1\n* Server certificate:\n* subject: C=US; ST=MA; L=SO; O=EMC; OU=ESRS; CN=myname\n* start date: Dec 4 12:20:29 2019 GMT\n* expire date: Dec 4 12:20:29 2039 GMT\n* issuer: C=US; ST=MA; L=SO; O=EMC; OU=ESRS; CN=myname\n* SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.\n> DELETE /esrs/v1/devices/ISILON-GW/ELMISLxxxxxxxx HTTP/1.1\r\nHost: 1.2.3.4:9443\r\nUser-Agent: PycURL/7.43.0 libcurl/7.66.0 OpenSSL/1.0.2r-fips zlib/1.2.11\r\nAccept: */*\r\nAuthorization: ISILON-GW:ELMISLxxxxxxxx:keykeykeyGYskKOwNZQg7SGOgC8=,domain=Device\r\nDate: Wed, 04 Nov 2020 19:15:47 GMT\r\n\r\n* Mark bundle as not supporting multiuse\n< HTTP/1.1 401 Unauthorized\r\n< Date: Wed, 04 Nov 2020 19:15:48 GMT\r\n< Server: Apache PivotalWebServer\r\n< Strict-Transport-Security: max-age=31536000; includeSubDomains;\r\n< Content-Security-Policy: frame-ancestors 'self'\r\n< Transfer-Encoding: chunked\r\n< \r\n* Connection #0 to host 1.2.3.4 left intact\n"}}
Если сообщение 401 содержит текстовую строку Invalid username and password, эта статья НЕ применяется.
Cause
Обратите внимание, что в приведенном выше ответе Isilon выдает команду
HTTP DELETE :
DELETE /esrs/v1/devices/ISILON-GW/ELMISLxxxxxxxx
Ключ устройства используется для аутентификации этих соединений между Isilon и шлюзом Secure Connect Gateway:
Authorization: ISILON-GW:ELMISLxxxxxxxx:keykeykeyGYskKOwNZQg7SGOgC8=
Если шлюз был переустановлен или потерял ключ устройства по другой причине, проверка подлинности API REST с использованием ключа завершается сбоем с ошибкой
401 Unauthorized ошибка.
Иногда, если невозможно определить состояние Secure Connect Gateway, для расследования можно обратиться в службу поддержки Dell Support . Ключи устройств теряются в случае переустановки шлюза, но также могут быть потеряны при откате шлюза к старому моментальному снимку (до создания или обновления ключа). Кроме того, если на шлюзе Secure Connect Gateway заканчивается дисковое пространство и в это время добавляется новое устройство, расширить базу данных ключей устройств в Secure Connect Gateway невозможно.
Resolution
Самым простым и наиболее вероятным решением будет выполнение следующих команд для отключения конфигурации, а затем новой регистрации для создания нового ключа устройства для Isilon. Переменная --force указывает Isilon отключить сервисы Secure Connect Gateway, не пытаясь сначала связаться со шлюзом для отмены регистрации.
isi esrs modify --enabled=false --force isi esrs modify --enabled=true --username=DellSupportEmail --password=MYPASS
Если эти команды не работают, можно обратиться в службу поддержки Dell , чтобы вручную очистить ключ и сбросить связь между Secure Connect Gateway и кластером Isilon. Откройте сервисную заявку с цитатой из этой статьи.
Опытный администратор должен выполнить следующие команды, чтобы отключить соответствующие службы в кластере, вручную отключить Secure Connect Gateway и очистить существующий ключ аутентификации на стороне кластера.
- Отключите соответствующие службы, если они работают. Эти службы представляют собой управляющие программы, которые запускают службу Secure Connect Gateway и службу API REST для подключения к Secure Connect Gateway. Отключение этих служб не влияет на клиентский доступ к кластеру.
isi services -a isi_esrs_d disable isi services -a isi_rsapi_d disable
- Принудительно отключите Secure Connect Gateway вручную.
isi_gconfig -t esrs esrs.enabled=false
- Удалите ключ, используемый для связи.
isi_gconfig -t esrs esrs.esrs_api_key=""
NOTE: if secondary Gateway is configured, clear the API key for secondary Gateway using command below:
isi_gconfig -t esrs esrs.secondary_esrs_api_key=""
- Включайте ТОЛЬКО
rsapi.
isi services -a isi_rsapi_d enable
- Для включения конфигурации Secure Connect Gateway используйте обычные команды.
isi esrs modify --enabled=true --username=DELL-Support-Account --password=MYPASS
- Если время ожидания ответа REST истекает по истечении времени ожидания, введите следующую команду:
isi --timeout=600 esrs modify --enabled=true --username=DELL-Support-Account --password=MYPASS
- Если команда по-прежнему отображает ошибки, запустите новый сбор в Isilon и обратитесь в службу поддержки Dell.
Эти действия используются для повторного создания и восстановления связи между Isilon и шлюзом Secure Connect Gateway.
Additional Information
В случае сбоя основного узла кластер выбирает новый основной узел, а целевой IP-адрес обновляется до Secure Connect Gateway с помощью протокола REST . Сервисы «isi_esrs_d» и «isi_rsapi_d» должны быть запущены на всех узлах кластера. Первичная сторона выбирается на основе узлов, настроенных в пулах доступа к шлюзу.
Основную обработку можно обнаружить, просмотрев журналы или выполнив следующую команду:
sqlite3 /ifs/.ifsvar/modules/tardis/namespaces/esrs.registered.state.sqlite 'select value from kv_table where key == "esrs_registered_lnn";' 5
В приведенном выше примере основным узлом является узел 5. Проверив для этого узла IP-адрес из пула доступа шлюза, определите, что это IP-адрес, используемый для лицензии кластера ELM* на шлюзе Secure Connect Gateway. Сотрудники службы поддержки Dell также видят этот IP-адрес в системах ServiceLink Secure Connect Gateway, используемых для подключения к кластерам.