NetWorker ist auf Namensauflösung angewiesen. Wenn die Namensauflösung nicht korrekt und vollständig konsistent ist, können bei vielen NetWorker-Vorgängen Probleme auftreten. Da NetWorker potenziell sensible Daten managt, muss es die Identitäten der Hosts sicherstellen, mit denen es auf verschiedene Weise interagiert.
Zahlreiche Symptome in NetWorker können das Ergebnis von unzulänglicher Namensauflösung in NetWorker sein:
- Fehlermeldungen, die auf Probleme mit dem Namens-Forward- oder Reverse-Lookup hinweisen.
- Keine Sondierung von Clients während des Backups möglich.
- Clients können nicht manuell auf dem Server gespeichert oder wiederhergestellt werden.
- Probleme beim Cloning oder Zugriff auf Storage Node-Geräte.
- Probleme beim Browsing oder mit dem Mediendatenbankdatensatz.
- Der Server oder Storage Node reagiert beim Start oder während des normalen Betriebs nicht mehr.
- Falsch benannte oder verschachtelte Indexverzeichnisse.
- Fehler aufgrund falsch konfigurierter Clients.
Die Namensauflösung erfolgt über verschiedene Mechanismen und auf verschiedenen Ebenen:
- NetWorker-Namenscache
- Lokaler Host-Resolver-Cache
- Lokale Hostdateieinträge
- DNS-Serverabfragen
Namensauflösungsmethode
1. NetWorker-Caching: NetWorker verwaltet einen internen Namenscache und spiegelt mitunter keine Umgebungsänderungen wider, die vorgenommen wurden, um Probleme mit der Namensauflösung zu beheben, ohne Services neu zu starten. NetWorker verfügt außerdem über ein konfigurierbares Feld, das für alle Clientinstanzen global ist. Dieses wird als „Aliase“ bezeichnet und muss alle Namen enthalten, die für diese Clientinstanz auflösbar sind, um Probleme mit mehreren Typen zu vermeiden. Wenn ein erforderlicher Name im internen Cache von NetWorker vorhanden ist, wird er von dort aus verwendet, und der Host-Resolver-Cache wird nicht berücksichtigt. Der NetWorker-Server-Daemon (nsrd) hat die Möglichkeit, den aufgelösten Namenscache in daemon.raw zu speichern, den Cache zu löschen oder Namen zu löschen und neu aufzulösen:
- dbgcommand -n nsrd PrintDnsCache=1 (in daemon.raw speichern)
- dbgcommand -n nsrd FlushDnsCache=1 (löschen)
- dbgcommand -n nsrd FlushDnsCache=9 (löschen und auflösen)
- Für die obigen Befehle kann entweder „-n process name“ oder „-p PID“ verwendet werden. Um die PID zu verwenden, müssen Sie zuerst andere Befehle ausführen, um die PID zu erhalten, zum Beispiel „ps -ef | grep nsr“ (Linux) oder „tasklist | findstr nsr“ (Windows)
2. Resolver-Cache: Alle Hosts und Betriebssysteme verfügen über einen lokalen Resolver-Cache, der die Hostauflösung und -geschwindigkeit unterstützt, ohne von Hostdateien oder DNS-Server abhängig zu sein. Dieser Cache wird als nächstes gemäß den normalen Regeln für die Namensauflösung des Betriebssystems geprüft. Wenn der Hostdatensatz vorhanden ist (selbst wenn er alt oder falsch ist), wird er vor der Abfrage einer anderen Datenquelle verwendet. Resolver-Cacheeinträge werden beim ersten „erfolgreichen“ Lösungsversuch in den Cache eingegeben und bleiben für einen vorab festgelegten Zeitraum erhalten. Einige Betriebssysteme können ihre Auflösungscache-Inhalte anzeigen (z. B. können Windows-Hosts ipconfig /displaydns ausführen) und alle verfügen über einen Mechanismus, um sie zu löschen oder zu leeren:
- Das Löschen von DNS unter Linux kann je nach installierter Linux-Distribution und installierten Paketen variieren. Weitere Informationen finden Sie in der Dokumentation des Anbieters.
- Windows: ipconfig /flushdns
3. Hostdateien: Der Legacy-Mechanismus für die Hostauflösung besteht darin, die IP-Adresse explizit einzugeben, gefolgt von allen Namen, die in diese Adresse aufgelöst werden sollen. Die Eingabe erfolgt in separaten Zeilen, getrennt durch Leerzeichen. Dies wird standardmäßig vor DNS unter Windows aktiviert. In Linux kann die Quellreihenfolge der Auflösung in der Regel in /etc/nsswitch.conf oder /etc/netsvc.conf konfiguriert werden. Hostdateien werden nur für den ersten übereinstimmenden Eintrag analysiert, der abgefragt wird. Daher wird beim Versuch, Namen aufzulösen, keine zweite Instanz einer IP-Adresse oder eines Hostnamens gefunden, egal ob kurz oder lang. Jeder Name oder jede IP sollte nur einmal angezeigt werden, da alle Namen in derselben Zeile der entsprechenden IP-Adresse eingegeben werden sollten.
- Unix/Linux: /etc/hosts
- Windows: %systemroot%\System32\drivers\etc\hosts
HINWEIS: Hostdateien können wie jede andere Datei beschädigt werden: Benennen Sie im Zweifelsfall die vorhandene Hostdatei um, erstellen Sie die neue, löschen Sie den Auflösungscache und versuchen Sie es erneut.
4. Forward-Auflösung: Um mit einem fremden Host zu kommunizieren, wenn der Name angegeben wurde, muss ein Host die IP-Adresse der fremden Hosts finden, damit die TCP/IP-Kommunikation stattfindet. Bei Verwendung von DNS muss die Abfrage für diesen Hostnamen in der Forward-Lookup-Zone durchgeführt werden, um die IP-Adresse abzurufen. Mehrere DNS-Hosts können für die Verwendung durch einen Client konfiguriert werden. Verwenden Sie auf Windows-Systemen ipconfig /all, um DNS-Namen zu erhalten. Auf Linux-/UNIX-Betriebssystemen enthält /etc/resolv.conf in der Regel die DNS-Serverreihenfolge. nslookup ist das gängigste Tool für die Abfrage von DNS und ist auf allen Plattformen vorhanden, wird jedoch häufig zum Abfragen der Forward-Zone missbraucht:
- Führen Sie nslookup ohne Argumente aus, um die interaktive Eingabeaufforderung einzugeben.
- Geben Sie die Namen-Iteration für die Suche ein und drücken Sie die Eingabetaste, um den Forward-Datensatz vom DNS-Server abzurufen, mit dem Sie eine Verbindung herstellen.
- Geben Sie denselben Namen zweimal mehr ein, um festzustellen, ob der Namensdatensatz im Hintergrund zwischen verschiedenen Hosts ein Round-Robining durchführt oder dieselben Daten zurückgibt.
- Wiederholen Sie diesen Vorgang für jede Instanz eines beliebigen Namens, den der Host von anderen Hosts angerufen wird oder den er selbst für dieselbe IP-Adresse hält.
- Wiederholen Sie den gleichen Prozess für alle anderen DNS-Server, für die der Host konfiguriert ist, indem Sie „server next_dns_server“ eingeben.
HINWEIS: Alle Datensätze, die zurückgegeben werden, müssen untereinander konsistent sein und mit dem übereinstimmen, was vom Administrator als korrekt verstanden wird; und alle bekannten Namen müssen berücksichtigt und geprüft werden.
5. Reverse-Auflösung: Um mit einem fremden Host zu kommunizieren, wenn die IP-Adresse angegeben wird, muss der Host möglicherweise den Hostnamen finden. Bei Verwendung von DNS wird die Abfrage anhand der Reverse-Lookup-Zone durchgeführt, um den Hostnamen der betreffenden IP-Adresse zu finden. Auch dies wird häufig missbraucht, da die Eingabe von „nslookup IP_Address“ oder sogar die Eingabe der IP-Adresse in nslookup die Reverse-Lookup-Zone nicht abfragt:
- Führen Sie nslookup ohne Argumente aus, um die interaktive Eingabeaufforderung einzugeben.
- Geben Sie „set q=ptr“ ein, um den Abfragetyp in die Reverse-Zone zu ändern.
- Geben Sie die IP-Adresse für die Reverse-Auflösung ein und drücken Sie die Eingabetaste.
- Stellen Sie sicher, dass der Name, der im Reverse-Datensatz zurückgegeben wird, mit dem Namen/der IP des Forward-Datensatzes übereinstimmt.
[root@linux_a~]# nslookup linux_a
Server: 1.2.3.4
Address: 1.2.3.4#53
Name: linux_a.domain.com
Address: 5.6.7.8
[root@linux_a~]# nslookup 5.6.7.8
Server: 1.2.3.4
Address: 1.2.3.4#53
Name: linux_a.domain.com
Address: 5.6.7.8
[root@linux_a~]# nslookup
> set q=ptr
> 5.6.7.8
Server: 1.2.3.4
Address: 1.2.3.4#53
Non-authoritative answer:
8.7.6.5.in-addr.arpa name = linux_a.domain.com.
Im obigen Beispiel ist klar, dass beim nicht-interaktiven Ausführen von nslookup nie die Reverse-Lookup-Zone abgefragt wird.
HINWEIS: NetWorker ist stark von einer perfekten und konsistenten Reverse-Auflösung sowie einer standardmäßigen Forward-Auflösung abhängig. Dies ist Teil des Autorisierungsprozesses und wurde auf diese Weise bewusst entwickelt, um IP-Spoofing oder andere Arten von Angriffen zu verhindern, die Backupdaten stehlen sollen.
Auflösung
Für alle NetWorker-Hosts muss für jeden Host, mit dem sie kommunizieren, eine konsistente Namensauflösung (sowohl Forward als auch Reverse) gewährleistet werden (dies variiert je nach Data-Zone-Rolle). Für NetWorker-Administratoren ist es von entscheidender Bedeutung, sicherzustellen, dass alle Probleme mit der Hostauflösung sofort und vollständig behoben werden.
Wenn Sie Probleme mit der Namensauflösung beheben oder diese in Ihrer NetWorker Data-Zone ausschließen möchten, gehen Sie wie folgt vor:
1. Suchen Sie alle Hosts, die am fehlgeschlagenen Vorgang beteiligt sind – Server, Client(s) und möglicherweise Storage Nodes usw.
2. Bestimmen Sie für jeden die lokal konfigurierten IP-Adressen und alle erwarteten auflösbaren Namen für diese IP-Adressen.
3. Konfigurieren Sie alle Hosts so, dass sie die Hostdatei vor DNS für die Hostauflösung verwenden.
4. Konfigurieren Sie am Anfang der Hostdatei eines Hosts einen einzelnen Eintrag für jede IP, wobei jeder Name in derselben Zeile steht.
5. Kopieren Sie diese Zeilen wortgetreu vom ersten Host in die Hostdateien der anderen beteiligten Hosts.
6. Bearbeiten Sie die NetWorker-Clientobjekte so, dass Aliase korrekt den gewünschten IP-Adressen entsprechen.
7. Fahren Sie NetWorker auf allen beteiligten Hosts herunter
8. Löschen Sie den Resolver-Cache auf jedem Host mithilfe des entsprechenden Betriebssystemmechanismus
9. Starten Sie NetWorker neu und versuchen Sie erneut, den problematischen Vorgang auszuführen
Um zu beweisen, dass der Name von einem bestimmten Host aufgelöst wird, verwenden Sie diesen Test:
1. Stellen Sie auf dem ersten NetWorker-Host (z. B. dem Client) eine Verbindung mit dem zweiten (z. B. dem Server) her, indem Sie
nsradmin -s remote_host -p nsrexec verwenden – lassen Sie die Sitzung offen
2. Bestimmen Sie auf demselben Host den Prozess für nsradmin (z. B. Windows,
Tasklist | findstr nsradmin)
3. Führen Sie netstat aus, um den diesem Prozess zugeordneten Sockel anzuzeigen (z. B. Windows,
netstat -ao | findstr process_id)
4. Bestimmen Sie den Verbindungssockel von diesem Host (die linke IP:Port-Kopplung in der Ausgabe)
5. Führen Sie auf dem Remotehost netstat -a und findstr/grep für :calling_port_from_first_host aus (es wird jetzt auf der rechten Seite angezeigt)
6. Der Hostname, der auf der linken Seite des Doppelpunkts angezeigt wird, ist der Name des ersten Hosts, den der zweite Host als eingehende Verbindung auflöst
7. Führen Sie den Vorgang erneut mit dem Switch -n aus, der zum netstat-Befehl hinzugefügt wurde, um die IP desselben Sockets zu überprüfen und zu überprüfen, ob die IP/Route erwartet wird
8. Kehren Sie denselben Test um, um sicherzustellen, dass der zweite Host den ersten Host innerhalb der erwarteten Parameter auflöst.