Dell VxRail: La cuenta raíz de ESXi se bloquea durante 900 segundos después de que fallan los intentos de inicio de sesión

La cuenta raíz de uno o más hosts ESXi está bloqueada debido a varios intentos de inicio de sesión fallidos.

No se puede conectar al nodo mediante SSH o la interfaz de usuario web.

Confirme el problema mediante la consola de iDRAC para conectarse al shell de ESXi.

En vCenter, se muestra un mensaje de advertencia similar al siguiente:

Remote access for ESXi local user account 'root' has been locked for 900s after 14 failed login attempts.

Figura 1: El acceso remoto está bloqueado.

Se encuentran registros similares a los siguientes en el host afectado:

/var/log/vobd.log

2020-04-03T17:27:58.790Z: [GenericCorrelator] 8202447897096us: [vob.user.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 32 failed login attempts.
2020-04-03T17:27:58.790Z: [UserLevelCorrelator] 8202447897096us: [vob.user.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 32 failed login attempts.
2020-04-03T17:27:58.791Z: [UserLevelCorrelator] 8202447897325us: [esx.audit.account.locked] Remote access for ESXi local user account 'root' has been locked for 900 seconds after 32 failed login attempts.

 

/var/log/auth.log

2020-04-03T17:29:06Z sshd[701694298]: Connection from 192.168.100.40 port 55682
2020-04-03T17:29:06Z sshd[701333862]: pam_tally2(sshd:auth): user root (0) tally 34, deny 5
2020-04-03T17:29:08Z sshd[701694298]: error: PAM: Authentication failure for root from 192.168.100.40
2020-04-03T17:29:08Z sshd[701694492]: pam_tally2(sshd:auth): user root (0) tally 35, deny 5
2020-04-03T17:29:08Z sshd[701694492]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.100.40  user=root
2020-04-03T17:29:10Z sshd[701694298]: error: PAM: Authentication failure for root from 192.168.100.40
2020-04-03T17:29:10Z sshd[701694298]: error: Received disconnect from 192.168.100.40 port 55682:3: com.jcraft.jsch.JSchException: Auth cancel [preauth]
2020-04-03T17:29:10Z sshd[701694298]: Disconnected from authenticating user root 192.168.100.40 port 55682 [preauth]

Es posible que se haya cambiado la contraseña raíz del nodo, pero el software de monitoreo de otros fabricantes no se ha actualizado con la nueva contraseña raíz.

Esto provoca múltiples inicios de sesión fallidos (a veces cientos o incluso miles). Esto bloquea la cuenta raíz durante 15 minutos, lo que impide SSH en el nodo ni iniciar sesión en la interfaz de usuario web del nodo.

Puede iniciar sesión a través de DCUI y el shell de ESXi.

A partir de vSphere 6.0, se admite el bloqueo de cuentas para el acceso a través de SSH y a través del SDK de servicios web de vSphere. La interfaz de consola directa (DCUI) y el shell de ESXi no soportan el bloqueo de cuentas. De manera predeterminada, se permite un máximo de cinco intentos fallidos antes de que la cuenta se bloquee. Asimismo, la cuenta se desbloquea después de 15 minutos.

Para abordar este problema:

1. Conéctese a la consola de iDRAC y, a continuación, al shell de ESXi.
2. Para habilitar el shell , inicie sesión en la DCUI y habilite el shell de ESXi en las opciones de solución de problemas.
3. También puedes hacer un Cntrl-Alt-F1 para acceder al shell.
4. Después de conectarse al shell de ESXi, ejecute los siguientes comandos. El resultado debe coincidir con la captura de pantalla que aparece a continuación, excepto que la entrada "De" dice "desconocido".

#pam_tally2 --user root
#pam_tally2 --user root --reset
#pam_tally2 --user root

5. Después de ejecutar los comandos anteriores, inicie sesión en la interfaz de usuario web del nodo de ESXi.
6. Vaya a Monitor y, a continuación, a Events. Debería ver una dirección IP que estaba intentando iniciar sesión y aparece como fallida.
7. Debe identificar la aplicación en función de la dirección IP que se indica aquí. Deténgala o configúrela con las credenciales correctas.

Para obtener más información, consulte el artículo de VMware Contraseñas de ESXi y bloqueo de cuentas.

Vea este video sobre la reparación de fallas de ESXi: desbloquear la cuenta de usuario raíz.