Dell EMC Unity: En los servidores NAS, aparece el error "DC cannot open NETLOGON pipe" (corregible por el usuario)

Esta solución se aplica cuando hay un mínimo de una controladora de dominio de Windows Server 2008 o anterior en uso y conectada al servidor NAS de Unity.  Esta solución no se aplica a Windows Server 2008R2 ni a las controladoras de dominio más recientes.

Después de actualizar el sistema Unity a OE versión 5.0.6, algunos servidores NAS se ven afectados por este mensaje de error:

DC cannot open NETLOGON pipe.

Esto ocurre de manera intermitente y aleatoria, y afecta a varios servidores NAS al mismo tiempo o de manera individual, pero siempre hay al menos uno que muestra este error.

El cliente puede utilizar FQDN para acceder al recurso compartido, pero no puede hacerlo a través de la dirección IP.

Cuando se ejecuta el comando svc_cifssupport< NAS_server_name> -pdcdump , se mostrará el siguiente error:
 
Cnx=WRONG_CREDENTIAL_HANDLE,DC cannot open NETLOGON pipe

Como parte de la entrega de la funcionalidad Secure RPC en Dell EMC Unity OE versión 5.0.6, se presentó la función "getDCcapas", de acuerdo con la especificación de la función Microsoft Netlogon para soportar el parámetro ServerCapabilities de Microsoft.  Sin embargo, esa función solo se agregó a las versiones soportadas de Windows Server.  Por lo tanto, la función no se implementa en Windows Server 2008 ni en versiones anteriores.

Documento de referencia de Microsoft: [MS-NRPC]: Protocolo remoto de Netlogon: 7 Apéndice B: Comportamiento del producto
Sección 3.5.4.4.10:
El parámetro ServerCapabilities no es soportado por Windows NT, Windows 2000, Windows XP, Windows Server 2003, Windows Vista ni Windows Server 2008.

Corrección:
la solución a largo plazo más segura es actualizar cualquier controladora de dominio que se conecte con sistemas Unity que ejecuten la versión 5.0.6 o una superior a una versión soportada de Windows Server.  Hasta ese punto, consulte la sección Solución alternativa a continuación.

Solución alternativa:
dado que el parámetro "param NTsec.NETLOGON.getDCcapas" en los sistemas Dell EMC Unity controla la manera en que los servidores NAS comprueban las funcionalidades de DC, la solución alternativa es modificar el parámetro para desactivar esta característica.

NOTA IMPORTANTE:  En entornos en que existen varias controladoras de dominio, y al menos una se encuentra en versiones anteriores de Windows Server y al menos una en las versiones más recientes de Windows Server (es decir, 2003 y 2012), parece que desactivar la función ServerCapabilities no afecta negativamente a las versiones más recientes.  Esto indica que, actualmente, Microsoft no aplica el uso de esta función.  Sin embargo, esto puede cambiar en algún momento en el futuro, y los clientes tendrán que decidir entre versiones más antiguas o más recientes de Windows Server para ejecutarse con ese SP.

Si debe implementar el cambio inmediatamente y no puede reiniciar el SP, comuníquese con el soporte técnico de Dell EMC o con su proveedor de servicios autorizado y mencione este artículo de la base de conocimientos.  La solución alternativa se puede implementar de una manera diferente, pero requiere un privilegio elevado.  Tenga en cuenta que este parámetro solo se puede implementar en el nivel del SP y, por lo tanto, afecta a TODOS los servidores NAS del SP.

Si puede implementar el cambio y reiniciar el SP, siga los pasos que se indican a continuación:
 

Paso 1 de 2. Ejecute el comando:  svc_nas ALL -param -facility NTsec -m NETLOGON.getDCcapas -v 0
 

service@spb:~/user# svc_nas ALL -param -facility NTsec -m NETLOGON.getDCcapas -v 0 param NTsec.NETLOGON.getDCcapas añadido a la lista de parámetros visibles SPA : done Advertencia 17716815750: SPA: Debe reiniciar el SP para que los cambios en NETLOGON.getDCcapas surtan efecto. SPB : hecho Advertencia 17716815750: SPB: Debe reiniciar el SP para que los cambios en NETLOGON.getDCcapas surtan efecto.

Paso 2 de 2. Reinicie los procesadores de almacenamiento (SP), uno a la vez.

El público designado del artículo puede ver la información adicional.
Para confirmar si el arreglo de Dell EMC Unity está experimentando este problema:

Desde EMCSystemLogFile.log:

service@spb:~/user# tailf 00_emc_backend_log_shared/EMCSystemLogFile.log |grep -i "WRONG_CREDENTIAL_HANDLE"
B 18/03/21 09:43:44.507 DART_SMB 10380008 [ADVERTIR] Auditoría: En el caso de NAS del servidor NAS en el DOMINIO de dominio, DC DC01 tiene el siguiente error: compname nas DC=DC01 Step='Open NETLOGON Secure Channel' ' ' 'DC cannot open NETLOGON pipe: status=WRONG_CREDENTIAL_HANDLE '.
B 18/03/21 09:43:46.559 DART_SMB 10380008 [ADVERTIR] Auditoría: En el caso de NAS del servidor NAS en el DOMINIO de dominio, DC DC02 tiene el siguiente error: compname nas DC=DC02 Step='Open NETLOGON Secure Channel' ' ' 'DC cannot open NETLOGON pipe: status=WRONG_CREDENTIAL_HANDLE '.

En c4_safe_ktrace.log: 

service@spb:~/user# tailf 02_emc_c4core_log/c4_safe_ktrace.log |grep -i "WRONG_CREDENTIAL_HANDLE"
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3:[NAS] Srv=NAS DC=DC01 buildSecureChannel(2)=Capa_ErrorQueryFailed NTStatus=WRONG_CREDENTIAL_
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3:[NAS] MANIJA pwdno=2
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3: [NAS] NLogon_SecureChannel no está bien = Capa_ErrorQueryFailed
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3:[NAS] smbSync no pudo crear un nuevo SecureChannel DC=DC01 NTstatus=SUCCESS LogonStatus=Capa_ErrorQueryFai
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3: [NAS] led SessionKey: StrongKeys authV: [PRIVACIDAD, signo: HMAC_MD5, sello: RC4] 
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 6:[NAS] DC0x00175e1038: setDCDown DC(xx.xx.xxx.xxx), actualizar si es necesario (origin=netLogonAuth2)
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3:[NAS] smbSync SamLogon[0] DC=DC01 'DC no puede abrir la tubería de NETLOGON' NTstatus=WRONG_CREDENTIAL_HANDLE LogonS
B 30/03/21 10:37:50.307 sade d927f702 c4_safe_ktrace SMB: 3:[NAS] tatus=Capa_ErrorQueryFailed (rSCstatus=-1 pipeClosed=0)