VNX2: En los servidores NAS, aparece el error “DC cannot open NETLOGON pipe”

Esta solución se aplica cuando hay un mínimo de una controladora de dominio (DC) de Windows Server 2008 o anterior en uso y está conectada al servidor NAS de VNX. Esta solución no se aplica a las controladoras de dominio de Windows Server 2008 R2 y versiones posteriores.

Algunos servidores NAS se ven afectados por el siguiente mensaje de error después de actualizar el sistema VNX a la versión de OE 8.1.21.303 y superior:

DC cannot open NETLOGON pipe

Esto ocurre de forma intermitente y aleatoria, y afecta a varios servidores NAS de manera simultánea o individual, pero siempre hay al menos uno que muestra este error:

1315xxxxx60: SMB: 3:[vdma3] 1SMB272 SamLogon[0] DC=DCSRVCPVWSK27 'DC cannot open NETLOGON pipe' NTstatus=WRONG_CREDENTIAL_HANDLE LogonStatus=Capa_ErrorQueryFailed (rSCstatus=-1 pipeClosed=0)

[nasadmin@skxxxxx58xxxx6_cs0 ~]$ server_cifssupport vdma3 -pingdc -compname swdfs01p_new
vdma3: done
PINGDC GENERAL INFORMATION
DC SERVER:
Netbios name: DCSRVCPVWSK26
CIFS SERVER:
Compname: sXXXs01p_new
Domain: an.ad.axxxxxxc.co.uk
Error 1316xxxxx79: vdma3: compname swdfs01p_new DC=DCSRVCPVWSK26 Step='Open NETLOGON Secure Channel' ' ' 'DC cannot open NETLOGON pipe: status=WRONG_CREDENTIAL_HANDLE 

Como parte de proporcionar la funcionalidad Secure RPC en el código de VNX, se presentó la función “getDCcapas”, de acuerdo con la especificación de la función Microsoft Netlogon para soportar el parámetro ServerCapabilities de Microsoft.

Sin embargo, esa función solo se agregó a las versiones soportadas de Windows Server. La función no se implementa en Windows Server 2008 ni en versiones anteriores. Consulte el documento de Microsoft: [MS-NRPC]: Protocolo remoto de Netlogon: 7 Apéndice B: Comportamiento del producto sección 3.5.4.4.10:
https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-nrpc/0c858a52-732a-43ec-85dd-e44b357c1898.

El parámetro ServerCapabilities no es soportado por Windows NT, Windows 2000, Windows XP, Windows Server 2003, Windows Vista ni Windows Server 2008.

Corrección:
La solución a largo plazo más segura es actualizar cualquier controladora de dominio que se conecte con sistemas VNX que ejecuten la versión 8.1.21.303 o una posterior a una versión soportada de Windows Server. Hasta entonces, consulte la sección Workaround a continuación.

Workaround:
El parámetro “param NTsec.NETLOGON.getDCcapas” en los sistemas Dell EMC VNX controla la manera en que los servidores NAS comprueban las funcionalidades de DC. La solución alternativa es modificar el parámetro para deshabilitar esta característica.

Agregue una nueva línea “param NTsec NETLOGON.getDCcapas=0” al archivo Param para que el cambio persista después del reinicio de DM.

[root@skxxxxx58xxxx6_cs0 slot_x]# cat param
param quota policy=filesize
param cifs nanoroundoff=1
param cifs acl.retryAuthSid=600
param cifs acl.mappingErrorAction=1
param config cs_external_ip=22.99.58.13
param NDMP concurrentDataStreams=8
param cifs acl.FailOnSDRestoreError=0
param cifs resolver=1
param cifs sendMessage=3
param shadow followdotdot=1
param NTsec NETLOGON.getDCcapas=0    <<<<<<

Nota: Una vez que el cliente actualiza su versión de software anterior en DC a una versión más reciente, debe volver a habilitar el parámetro en VNX.

 /nas/bin/.server_config servername -v "param NTsec NETLOGON.getDCcapas=0"