NVE: Besturingssysteempakket wordt als succesvol gemeld, maar OS-pakketten zijn niet bijgewerkt na wijziging van NVE IP-adres

• Beveiligingslekken (CVE's) kunnen worden gemeld tegen de NVE. Er is al een OS Rollup toegepast om de beveiligingslekken op te lossen.
• OS Rollup-pakketten worden vermeld als voltooid op het tabblad Avinstaller History:

Er zijn twee mogelijke oorzaken voor dit probleem. Een of beide van deze oorzaken kunnen aanwezig zijn op de NVE.

Oorzaak 1:

Het workflowlogboek van het pakket meldt dat de systeeminformatie niet kan worden opgehaald. Er wordt geprobeerd het verkeerde IP-adres te gebruiken om verbinding te maken met de NVE en de details van het besturingssysteem te controleren voordat de update wordt uitgevoerd:

nve:~ # cat /usr/local/avamar/var/avi/server_data/package_data/NvePlatformOsRollup_2024-R2-v3.avp_*/workflow.log | grep -A2 "uname"
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a", exit status=255 (error)
2024-09-20 13:24:27 (-0400) 47106469567160 INFO: address=123.123.9.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  os=unknown version=unknown update=unknown arch=unknown
2024-09-20 13:24:27 (-0400) 47106469567160 INFO:  - One or more nodes are not running SLES succeeded

Het weergegeven IP-adres is niet het huidige IP-adres van het NVE-apparaat. Dit kan een ouder IP-adres zijn dat eerder is gebruikt.

nve:~ # ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:50:56:BB:B4:63
          inet addr:123.123.0.16  Bcast:123.123.0.255  Mask:255.255.255.0
          inet6 addr: fe80::250:56ff:febb:b463/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2713 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1309 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:492699 (481.1 Kb)  TX bytes:1463814 (1.3 Mb)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:21317 errors:0 dropped:0 overruns:0 frame:0
          TX packets:21317 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5696590 (5.4 Mb)  TX bytes:5696590 (5.4 Mb)

Het samenvoegsel haalt het verkeerde IP-adres op van / usr/local/avamar/var/probe.xml.

nve:~ # cat /usr/local/avamar/var/probe.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.9.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Bij het uitvoeren van dezelfde opdracht vanuit de workflow, wordt deze niet geretourneerd uname -a uitvoer.

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@WRONG_IP_FROM_WORKFLOW.LOG  uname -a

Voorbeeld:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.9.16  uname -a
nve:~ #

Oorzaak 2:

Het workflowlogboek van het pakket meldt dat de systeeminformatie niet kan worden opgehaald. Er wordt geprobeerd het juiste IP-adres te gebruiken om verbinding te maken met de NVE en de details van het besturingssysteem te controleren voordat de update wordt uitgevoerd, maar krijgt niet de juiste details van het besturingssysteem:

2024-10-16 10:44:08 (-0400) 47438611020440 INFO: post: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a", exit status=255 (error)
2024-10-16 10:44:08 (-0400) 47438611020440 INFO: address=123.123.0.16 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  os=unknown version=unknown update=unknown arch=unknown
2024-10-16 10:44:08 (-0400) 47438611020440 INFO:  - One or more nodes are not running SLES succeeded

De /etc/ssh/sshd_config bevat het oude (verkeerde IP-adres) in de regel Match Address:

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Het uitvoeren van de uname -a commando van de workflow, vraagt herhaaldelijk om het root-wachtwoord, zelfs als het juiste IP-adres en rootwachtwoord worden gebruikt:

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Password:
Password:
Password:

Het is niet toegestaan om u als root aan te melden vanaf een IP-adres dat niet is gedefinieerd in de regel Match Address voor PermitRootLogin.

Tenzij er een NVE-snapshot is gemaakt voordat het samenpakket wordt toegepast, is er geen optie om het samenpakket opnieuw toe te passen. Als er een VMware-snapshot beschikbaar is, zet u de NVE terug op de snapshot, voert u de onderstaande stappen uit en past u de rollup opnieuw toe.

Als er geen snapshot beschikbaar is, kan een nieuwere rollup worden toegepast (indien beschikbaar) nadat de onderstaande wijzigingen zijn aangebracht. Als het nieuwste besturingssysteempakket is toegepast, wacht u tot het volgende pakket wordt vrijgegeven en past u het toe nadat u de onderstaande stappen hebt uitgevoerd. De volgende stappen kunnen worden gebruikt om beide problemen op te lossen die worden beschreven in het gedeelte Oorzaak.

1. Maak een VMware-snapshot van de NVE.
2. Open een SSH-sessie bij de NVE, log in als admin.
3. Overschakelen naar root:

sudo su -

4. Als /usr/local/avamar/var/probe.xml bestaat, open het met een teksteditor en zorg ervoor dat de configuratiewaarden (IP-adres, zoekdomein, hostnaam) allemaal correct zijn:

vi /usr/local/avamar/var/probe.xml

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="SERVER_SHORT_NAME" userinput_domain="DOMAIN.DOMAIN" userinput_search="DOMAIN.DOMAIN">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="IPv4_ADDRESS" userinput_netmask="SUBNET_ADDRESS" userinput_customhostname="FULLY_QUALIFIED_DOMAIN_NAME"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

Voorbeeld:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dpn>
   <module name="nve" userinput_domain="networker.lan" userinput_search="networker.lan">
      <node type="single-node server">
         <network-interface id="0" userinput_ifname="eth0">
            <address value="123.123.0.16" userinput_netmask="255.255.255.0" userinput_customhostname="nve.networker.lan"/>
            <uses allow="replication,internal,backup,management"/>
         </network-interface>
      </node>
   </module>
</dpn>

1. Zorg ervoor dat het bestand eigendom is van de beheerder: chown admin:admin /usr/local/avamar/var/probe.xml
2. Zorg ervoor dat de bestandsmachtigingen correct zijn: chmod 644 /usr/local/avamar/var/probe.xml

5. Open de sshd_config Bestand met vi:

vi /etc/ssh/sshd_config

6. Ga naar de regel Match Address en zorg ervoor dat het huidige IP-adres is gedefinieerd in de lijst met IP-adressen die PermtRootLogin.

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.9.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

Match Address ::1,127.0.0.1,127.0.0.1,::1,123.123.0.16,fe80::250:56ff:febb:8bdb
        PermitRootLogin yes

7. Start de sshd-service opnieuw:

systemctl restart sshd

8. Zorg ervoor dat de SSH-opdracht vanuit de workflow de juiste uname -a-uitvoer retourneert:

ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@NVE_IP_ADDRESS  uname -a

nve:~ # ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@123.123.0.16  uname -a
Enter passphrase for key '/root/.ssh/rootid':
Linux nve 4.12.14-122.201-default #1 SMP Tue Mar 12 13:01:34 UTC 2024 (b92bd5a) x86_64 x86_64 x86_64 GNU/Linux

2024-09-20 15:14:58 (-0400) 47419850660520 INFO: "ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  uname -a", exit status=0 (success)
2024-09-20 15:14:58 (-0400) 47419850660520 INFO: address=127.0.0.1 remote=ssh -q -i /root/.ssh/rootid -x -q -o ConnectTimeout=5 -o PasswordAuthentication=no -o StrictHostKeyChecking=no -o GSSAPIAuthentication=no  root@127.0.0.1  os=SLES version=12 update=5 arch=x86_64
...
2024-09-20 15:15:23 (-0400) 47419850660520 INFO: Installing OS updates via sec_install_os_errata_sles.pl on node set 0.s
...
2024-09-20 15:15:26 (-0400) 47419862858080 INFO: >>> [make_temp_script] 222 very_current_user=root, as_user=root, ssh command is: (perl /space/avamar/repo/temp/NvePlatformOsRollup_2024-R2-v3.avp_1726859540790/tools/sec_install_os_errata_sles.pl /data01/avamar/src/rollup_tmp//sec_os_updates_SLES12SP5-2024-R2-v3.tgz* </dev/null >/tmp/sec_install_os_errata_sles.pl.log 2>&1) >/usr/local/avamar/var/run_command-sysout.7314.47419862858080 2>&1

De VMware-snapshot kan worden verwijderd nadat is bevestigd dat het samenvoegen is gelukt en de systeemupdate is gevalideerd. 

Als de oorzaak in dit artikel niet van toepassing is, zie:

• NVE: Besturingssysteempakket wordt als succesvol gemeld, maar OS-pakketten worden niet bijgewerkt wanneer /root/.bashrc wordt gewijzigd
• NVE: Besturingssysteem roll-up voltooid, maar kernel niet geüpgraded
• NVE: Geïnstalleerde binaire versies in apparaat komen niet overeen met geïnstalleerde upgrade- of rollup-versies

========================

• NVE: Triage Guide voor upgrade- of installatiefouten.
• Dell Avamar en NetWorker besturingssysteem (OS) rollup beveiligingsupdatepatroon (aanmelden bij Dell Support is vereist om dit artikel te lezen)
• NetWorker Virtual Edition (NVE): Het Platform Security Rollup installeren.