NetWorker dipende dalla risoluzione dei nomi. Se la risoluzione dei nomi non è corretta e del tutto coerente, potrebbero verificarsi problemi in molte operazioni di NetWorker. Poiché NetWorker gestisce dati potenzialmente sensibili, deve garantire le identità degli host con cui interagisce con vari mezzi.
Un numero qualsiasi di sintomi in NetWorker può essere il risultato della risoluzione dei nomi in NetWorker:
- Messaggi di errore che indicano problemi di ricerca dei nomi diretta o inversa.
- Impossibilità di analizzare i client durante il backup.
- Impossibilità per i client di salvare manualmente sul server o di eseguire il ripristino.
- Problemi durante la clonazione o l'accesso ai dispositivi di storage node.
- Problemi di navigazione o dei record del database dei supporti.
- Il server o lo storage node smette di rispondere all'avvio o durante il normale funzionamento.
- Directory dell'indice nidificate o con nome errato.
- Errori di client configurati in modo errato.
La risoluzione dei nomi viene eseguita da vari meccanismi e a vari livelli:
- Cache dei nomi di NetWorker
- Cache del risolutore host locale
- Voci dei file host locali
- Ricerche del server DNS
Metodologia di risoluzione dei nomi
1. Cache di NetWorker: NetWorker mantiene una cache dei nomi interna e talvolta non riflette le modifiche ambientali apportate per correggere i problemi di risoluzione dei nomi senza riavviare i servizi. NetWorker dispone inoltre di un campo configurabile globale per tutte le istanze client denominate "Aliases", che deve riflettere tutti i nomi risolvibili per tale istanza client per evitare problemi di più tipi. Se nella cache interna di NetWorker è presente un nome obbligatorio, questo viene utilizzato da lì e la cache del risolutore dell'host non viene consultata. Il daemon del server NetWorker (nsrd) può eseguire il dump della cache dei nomi risolti nel file daemon.raw, svuotare la cache o svuotare e risolvere nuovamente i nomi:
- dbgcommand -n nsrd PrintDnsCache=1 (dump a daemon.raw)
- dbgcommand -n nsrd FlushDnsCache=1 (svuotamento)
- dbgcommand -n nsrd FlushDnsCache=9 (svuotamento e risoluzione)
- Per i comandi sopra indicati, è possibile utilizzare "-n nome processo" o "-p PID". Per utilizzare il PID è necessario prima eseguire altri comandi per ottenere il PID; ad esempio "ps -ef | grep nsr" (Linux) o "tasklist | findstr nsr" (Windows)
2. Risolutore della cache: Tutti gli host e i sistemi operativi dispongono di una cache del risolutore locale per agevolare la risoluzione e la velocità degli host senza dover fare affidamento su file host o server DNS. Questa cache viene controllata in base alle normali regole di risoluzione dei nomi del sistema operativo e, se esiste un record host (anche se vecchio o errato), questo viene utilizzata prima di eseguire una query su qualsiasi altra origine dati. Le voci della cache del risolutore vengono inserite nella cache al primo tentativo di risoluzione "riuscito" e vi rimangono per un periodo di tempo predeterminato. Alcuni sistemi operativi possono visualizzare il contenuto della cache del risolutore (ad esempio, gli host Windows possono eseguire ipconfig /displaydns) e tutti dispongono di un meccanismo per cancellarlo o scaricarlo forzatamente:
- Lo svuotamento del DNS su Linux può variare a seconda della distribuzione di Linux e dei pacchetti installati. Fare riferimento alla documentazione del vendor.
- Windows: ipconfig /flushdns
3. File host: Il meccanismo legacy per la risoluzione dell'host consiste nell'immettere esplicitamente l'indirizzo IP, seguito da tutti i nomi che si desidera risolvere a tale indirizzo, su righe separate, delimitati da spazio vuoto. Questa operazione viene controllata prima del DNS per impostazione predefinita in Windows; in Linux, l'ordine di origine della risoluzione può generalmente essere configurato in /etc/nsswitch.conf or /etc/netsvc.conf. I file host vengono analizzati solo per la prima voce corrispondente sottoposta a query, pertanto qualsiasi seconda istanza di un indirizzo IP o nome host, breve o lungo, non verrà mai trovata quando si tenta di risolvere i nomi. Ogni nome o IP deve essere visualizzato solo una volta, in quanto tutti i nomi devono essere immessi sulla stessa riga dell'indirizzo IP corrispondente.
- Unix/Linux: /etc/hosts
- Windows: %systemroot%\System32\drivers\etc\hosts
NOTA: I file host possono danneggiarsi, come qualsiasi altro file: in caso di dubbi, rinominare il file host esistente, crearne uno nuovo, cancellare la cache del risolutore e riprovare.
4. Risoluzione diretta: Per comunicare con un host esterno quando viene fornito il nome, un host deve individuare l'indirizzo IP degli host esterni per le comunicazioni TCP/IP da utilizzare; quando si utilizza DNS, è necessario eseguire la query per tale nome host nella zona di ricerca diretta per recuperare l'indirizzo IP. È possibile configurare più host DNS per l'utilizzo da parte di un client; sui sistemi Windows, utilizzare ipconfig /all per ottenere i nomi DNS; sui sistemi operativi Linux/UNIX, /etc/resolv.conf trasporta in genere l'ordine del server DNS. nslookup è lo strumento più comune per l'esecuzione di query su DNS ed è disponibile su tutte le piattaforme, ma viene utilizzato frequentemente in modo improprio; per eseguire una query nella zona di ricerca diretta:
- Eseguire nslookup senza argomenti per accedere al prompt interattivo.
- Immettere l'iterazione del nome da cercare e premere Invio per recuperare il record di inoltro dal server DNS a cui è stata eseguita la connessione.
- Immettere lo stesso nome due volte per verificare se il record del nome esegue Round Robin in modo invisibile tra host diversi o se restituisce gli stessi dati.
- Ripetere la stessa procedura per qualsiasi istanza di qualsiasi nome con cui l'host può essere chiamato da altri host o con cui può essere definito per lo stesso indirizzo IP.
- Ripetere la stessa procedura per qualsiasi altro server DNS configurato per il potenziale utilizzo da parte dell'host immettendo il server next_dns_server.
NOTA: Tutti i record restituiti devono essere coerenti tra loro e coerenti con ciò che viene inteso come corretto dall'amministratore; tutti i nomi noti devono essere registrati e controllati.
5. Risoluzione inversa: Per comunicare con un host esterno quando viene fornito l'indirizzo IP, potrebbe essere necessario trovare il nome dell'host; quando si utilizza DNS, la query viene eseguita nella zona di ricerca inversa per trovare il nome host dell'indirizzo IP in questione. Anche in questo caso, si tratta di un utilizzo improprio, in quanto l'immissione di nslookup IP_Address o anche l'immissione dell'indirizzo IP in nslookup non eseguirà una query nella zona di ricerca inversa:
- Eseguire nslookup senza argomenti per accedere al prompt interattivo.
- Immettere set q=sec per modificare il tipo di query nella zona di ricerca inversa.
- Immettere l'indirizzo IP per invertire la risoluzione e premere Invio.
- Assicurarsi che il nome restituito nel record inverso corrisponda al nome/IP del record diretto.
[root@linux_a~]# nslookup linux_a
Server: 1.2.3.4
Address: 1.2.3.4#53
Name: linux_a.domain.com
Address: 5.6.7.8
[root@linux_a~]# nslookup 5.6.7.8
Server: 1.2.3.4
Address: 1.2.3.4#53
Name: linux_a.domain.com
Address: 5.6.7.8
[root@linux_a~]# nslookup
> set q=ptr
> 5.6.7.8
Server: 1.2.3.4
Address: 1.2.3.4#53
Non-authoritative answer:
8.7.6.5.in-addr.arpa name = linux_a.domain.com.
Nell'esempio precedente, è chiaro che l'esecuzione di nslookup in modo non interattivo non esegue mai query nella zona di ricerca inversa.
NOTA: NetWorker dipende fortemente dalla risoluzione inversa perfetta e coerente, nonché dalla risoluzione diretta standard: ciò fa parte del processo di autorizzazione ed è progettato appositamente per evitare lo spoofing IP o altri tipi di attacchi che hanno lo scopo di rubare i dati di backup.
Risoluzione
Tutti gli host NetWorker devono avere una risoluzione dei nomi coerente, sia diretta che inversa, per qualsiasi host con cui comunicano (che varia a seconda del ruolo della zona dei dati). Per gli amministratori di NetWorker è fondamentale garantire che tutti i problemi di risoluzione degli host vengano risolti immediatamente e completamente.
Durante la risoluzione dei problemi relativi alla risoluzione dei nomi o per escluderli in NetWorker Data Zone:
1. Trovare tutti gli host coinvolti nell'operazione di errore: server, client, eventuali storage node e così via.
2. Per ciascuno, determinare gli indirizzi IP configurati localmente e tutti i nomi risolvibili previsti per tali IP.
3. Configurare tutti gli host in modo che utilizzino il file host prima del DNS per la risoluzione degli host.
4. All'inizio di un file host di un host, configurare una singola voce per ogni IP, con ogni nome corrispondente sulla stessa riga.
5. Copiare queste righe in modo esatto dal primo host ai file host degli altri host interessati.
6. Modificare gli oggetti del client NetWorker in modo che gli alias corrispondano correttamente agli IP desiderati.
7. Arrestare NetWorker su tutti gli host interessati
8. Cancellare la cache del risolutore su ciascun host utilizzando il meccanismo del sistema operativo appropriato
9. Riavviare NetWorker e tentare nuovamente l'operazione problematica
Per dimostrare che il nome viene risolto da un determinato host, utilizzare questo test:
1. Dal primo host NetWorker (ad esempio, il client), connettersi al secondo (ad esempio il server) utilizzando
nsradmin -s remote_host -p nsrexec; lasciare la sessione aperta
2. Sullo stesso host, determinare il processo per nsradmin (ad esempio, Windows,
tasklist | findstr nsradmin)
3. Eseguire netstat per visualizzare il socket associato a tale processo (ad esempio, Windows,
netstat -ao | findstr process_id)
4. Determinare il socket di connessione da tale host (l'IP più a sinistra: associazione della porta nell'output)
5. Sull'host remoto: eseguire netstat -a e findstr/grep per :calling_port_from_first_host (a questo punto viene visualizzato sulla destra)
6. Il nome host visualizzato sul lato sinistro della colonna è il nome del primo host per cui il secondo host risolve la connessione in entrata
7. Effettuare una nuova esecuzione con lo switch -n aggiunto al comando netstat per verificare l'IP dello stesso socket, per verificare se l'Ip/route è previsto
8. Invertire lo stesso test per garantire che il secondo host risolva il primo host entro i parametri previsti