OneFS: SMB-anslutning och protokollgranskning slutar fungera när SMB-tjänsten har inaktiverats eller aktiverats

Protokollgranskning är aktiverat i klustret:

# isi audit settings global view |grep "Protocol Auditing"
Protocol Auditing Enabled: Yes <<<<<<<<<<<

SMB-tjänsten har inaktiverats och återaktiverats med kommandot:

# isi services -a smb disable
The service 'smb' has been disabled.

# isi services -a smb enable
The service 'smb' has been enabled.

Noder visar höga stängda anslutningar på TCP-port 445:
Till exempel:

# echo ">>> Any buildup of closed sockets against SMB? <<<"; isi_for_array -X 'netstat -an | grep "\.445" | grep CLOSED | wc -l'
PowerScale-1:     7668
PowerScale-2:     7022
PowerScale-3:     7773
PowerScale-4:     7378

Granskningsloggen har kontrollerats och den visar att inga nya SMB-granskningshändelser efter att SMB-tjänsten har inaktiverats eller aktiverats:
Till exempel:

#isi_audit_viewer -t protocol -s "2025-01-15 11:30:00" | tail  (SMB services is disabled/enabled around 11:30)
...
...
[88: Wed Jan 15 11:32:29 2025] {"id":"6bb81e75-a932-11ef-8b5b-0050569b863c","timestamp":1732321949246224,"payloadType":"bbce6a72-a92d-4330-a1f3-e9fd5aed8152","payload":"Shutting down audit driver: flt_audit"}
[89: Wed Jan 15 11:32:29 2025] {"id":"6bb8a404-a932-11ef-8b5b-0050569b863c","timestamp":1732321949249642,"payloadType":"7afb8d54-0aa7-4ed4-9691-341313ee37e3","payload":"Audit Driver: flt_audit Loaded"}
done

Ingen sockel för att granska tjänsten i lwio process:

# procstat -f $(pgrep lwio)|grep -i "audit_service.sock"
#

Det här är ett produktproblem i OneFS 9.7.1.x och OneFS 9.8.

När SMB-tjänsten har inaktiverats eller aktiverats återställs inte socketen för att granska tjänsten korrekt i lwio process. Det gör att SMB-granskningshändelserna inte skickas till granskningstjänsten. Så småningom kommer granskningskön inuti lwio är full. lwio har fastnat i väntan på att SMB-åtgärderna kan granskas.

Kodproblemet är åtgärdat i OneFS 9.7.1.8, 9.10.1.0, 9.11 och senare OneFS.

Om klustret inte kan uppgraderas till kodnivå med korrigeringen. Följ den tillfälliga lösningen och starta om lwio på den berörda noden för att återställa socketen till granskningstjänsten.

1. Kontrollera att du kör lwio PID

# ps auxw|grep 'lw-container lwio'
root   83816   0.0  1.4 123100  56184  -  I<    7Jan25      0:06.95 lw-container lwio (lwio)

2. Starta om lwio

# killall lwio
#

3. Bekräfta lwio PID-ändringar

# ps auxw|grep 'lw-container lwio'
root   62370   0.0  0.9  84240  36200  -  S<   04:14        0:00.19 lw-container lwio (lwio)

4. Bekräfta att socketen för att granska tjänsten är tillbaka

# procstat -f $(pgrep lwio)|grep -i audit
62370 lwio                21 s - rw------   2       0 UDS 0 0 /var/run/audit_service.sock