Recherche dans <book_title>…

Guide de dépannage de Veritas NetBackup™

Last Published: 2019-07-23

Product(s): NetBackup (8.2)

Dépannage des problèmes relatifs aux certificats externes basés sur fichier

Le problème peut être dû à l'une des raisons suivantes :

Le certificat du service Web qui est utilisé pour la communication n'est pas configuré correctement.
Certains services principaux de NetBackup n'ont pas démarré.
Les conditions requises pour le certificat externe ne sont pas remplies.
Le chemin d'accès à la configuration de certificat externe (ECA_CERT_PATH) n'est pas configuré correctement.
Échec de la vérification de révocation du certificat.

Pour résoudre le problème, passez en revue les causes suivantes et exécutez la commande suivante pour déterminer l'état actuel du problème.

Install_Path/bin/nbcertcmd -enrollCertificate -preCheck -server server_name

Install_Path fait référence aux éléments suivants :

Sous Windows : VERITAS\NetBackup\bin

Sous UNIX : /usr/openv/netbackup/bin

Cause 1 : Le certificat du serveur Web qui est utilisé pour la communication n'est pas configuré correctement.

Le serveur Web NetBackup n'est pas configuré pour utiliser des certificats externes.
L'erreur suivante s'affiche :
ETAT DE SORTIE 26 : Echec de négociation entre le client et le serveur.
- Exécutez la commande suivante sur le serveur maître pour vérifier si l'autorité de certification externe est configurée (activée) ou non (désactivée).
  Install_Path/nbcertcmd -getSecConfig -caUsage
  Sous Windows : C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -getSecConfig -caUsage
  Sous Unix : /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -getSecConfig -caUsage
  Par exemple : C:\Program Files\Veritas\NetBackup\bin>nbcertcmd -getSecConfig -caUsage
  Sortie :
```
NBCA:OFF ECA:ON
```
  Si aucune autorité de certification externe n'est configurée, exécutez la commande configureWebServerCerts sur le serveur Web.
  Dans certains cas, vous pouvez également obtenir l'erreur suivante, lorsqu'aucune autorité de certification externe n'est configurée sur le serveur Web.
  ETAT DE SORTIE 5982 : La liste de révocation des certificats n'est pas disponible.
  Dans ce cas, vérifiez d'abord la valeur du paramètre ECA. S'il est désactivé, exécutez la commande configureWebServerCerts.
Le certificat du service Web qui est utilisé pour la communication n'est pas approuvé par une autorité de certification.
- Vérifiez que le chemin d'accès au certificat (l'option configureWebServerCert -certPath) possède un certificat feuille avec la chaîne complète de certificats de l'autorité de certification à l'exception de l'ancre de confiance (autorité de certification racine).
- Exécutez la commande suivante pour répertorier les certificats qui sont configurés pour le serveur Web.
  nbcertcmd -listallcertificates -jks
  Sous Windows : C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks
  Sous Unix : /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks
- Exécutez la commande suivante pour répertorier les détails du certificat d'hôte du serveur maître NetBackup.
  Install_Path/goodies/vxsslcmd x509 -in certificate_path -noout -text -purpose
  Sous Windows : C:\Program Files\ VERITAS\NetBackup\bin\goodies\vxsslcmd x509 -in certificate_path -noout -text -purpose
  Sous Unix : /usr/openv/netbackup/bin/netbackup/bin/goodies/vxsslcmd x509 -in certificate_path -noout -text -purpose
  Vérifiez que le certificat d'hôte du serveur maître est émis par la même autorité de certification racine que le certificat du serveur Web.
  Si le certificat d'hôte n'est pas émis par la même autorité de certification racine que le certificat du serveur Web, vous devez émettre un nouveau certificat avec cette autorité de certification pour le serveur maître NetBackup et inscrire le certificat à nouveau.
Le nom de serveur spécifié est introuvable dans le certificat de service Web.
Le nom de serveur ne correspond à aucun des noms d'hôte répertoriés dans le certificat du serveur.
Les noms répertoriés dans le certificat du serveur sont :
DNS : nb-master _ext
DNS : nb-master .some.domain.com
DNS : nb-master _web_svr EXIT STATUS 8509 :
Mettez à jour la configuration sur l'hôte NetBackup afin qu'il utilise l'un des noms présents dans le certificat du serveur Web pour désigner le serveur maître ou incluez tous les noms du serveur maître connus pour le domaine NetBackup dans le certificat.

Pour plus d'informations, consultez l'article suivant :

https://www.veritas.com/support/en_US/article.000126751

Cause 2

Certains services principaux de NetBackup n'ont pas démarré.

Appliquez la procédure suivante pour résoudre le problème :

Vérifiez l'état des services suivants en exécutant la commande bpps à partir du répertoire NetBackup/bin :
- nbsl
- vnetd -standalone
- NB_dbsrv (sous UNIX) ou dbsrv16 (sous Windows)
Pour plus d'informations sur les commandes NetBackup, consultez le Guide de référence des commandes NetBackup.
Démarrez les services nbsl et vnetd s'ils ne sont pas en cours d'exécution.
Démarrez le service NB_dbsrv (sous Unix) ou dbsrv16 (sous Windows) s'il n'est pas en cours d'exécution.

Redémarrez les services nbsl, vnetd et NB_dbsrv (ou dbsrv16) comme suit :

Sous Windows :

Install_Path\bin\bpdown -e "NetBackup Service Layer" -f -v

Install_Path\bin\bpup -e "NetBackup Service Layer" -f -v

Install_Path\bin\bpdown -e "NetBackup Legacy Network Service" -f -v

Install_Path\bin\bpup -e "NetBackup Legacy Network Service" -f -v

Install_Path\bin\bpdown -e "SQLANYs_VERITAS_NB" -f -v

Install_Path\bin\bpup -e "SQLANYs_VERITAS_NB" -f -v

Alternativement, vous pouvez utiliser le gestionnaire de contrôle des services pour redémarrer les services NetBackup Service Layer (NBSL), NetBackup Legacy Network Service (vnetd) et SQLANYs_VERITAS_NB.

Exemple :

C:\Program Files\Veritas\NetBackup\bin\bpdown -e "NetBackup Service Layer" -f -v

C:\Program Files\Veritas\NetBackup\bin\bpup -e "NetBackup Service Layer" -f -v

C:\Program Files\Veritas\NetBackup\bin\bpdown -e "NetBackup Legacy Network Service" -f -v

C:\Program Files\Veritas\NetBackup\bin\bpup -e "NetBackup Legacy Network Service" -f -v

C:\Program Files\Veritas\NetBackup\bin\bpdown -e "SQLANYs_VERITAS_NB" -f -v

C:\Program Files\Veritas\NetBackup\bin\bpup -e "SQLANYs_VERITAS_NB" -f -v

Sous UNIX :

Install_Path/netbackup/bin/nbsl -terminate

Install_Path/netbackup/bin/nbsl

Pour arrêter vnetd et NB_dbsrv, reportez-vous à l'exemple suivant :

Pour démarrer vnetd et NB_dbsrv, exécutez les commandes suivantes :

install_path/netbackup/bin/vnetd -standalone install_path/db/bin/NB_dbsrv

Exemple :

/usr/openv/netbackup/bin/nbsl -terminate

/usr/openv/netbackup/bin/nbsl

# ps -fed | grep vnetd | grep standalone

root 16018 1 4 08:47:35 ? 0:01 ./vnetd -standalone

# kill 16018

# ps -fed |grep NB_dbsrv

root 11959 1 4 08:47:35 ? 0:01 ./NB_dbsrv

root 16174 16011 0 08:47:39 pts/2 0:00 grep ./NB_dbsrv

# kill 11959

/usr/openv/netbackup/bin/vnetd -standalone

/usr/openv/db/bin/NB_dbsrv

Si le problème persiste, contactez le support technique de Veritas.

Cause 3

Les conditions requises pour le certificat externe ne sont pas remplies.

Vérifiez les conditions préalables suivantes :

Le nom unique d'objet doit être unique et stable pour chaque hôte. Il doit contenir moins de 255 caractères et ne doit pas être vide.
Seuls les caractères ASCII 7 sont pris en charge dans le nom unique de l'objet du certificat et le Subject Alternative Name X509v3.
Les attributs d'authentification serveur et client (serveur SSL et client SSL) doivent être définis (ou doivent être vrais) dans le certificat.
Le certificat est au format PEM.
Les points de distribution des listes CRL (CDP) sont pris en charge uniquement pour HTTP/HTTPS.

Exécutez la commande suivante pour vérifier si les conditions sont remplies.

Install_Path/goodies/vxsslcmd x509 -in certificate_path -noout -text -purpose

Remarque :

Les chemins d'accès au certificat qui sont fournis pour l'option configureWebServerCert -certPath et l'option ECA_CERT_PATH doivent avoir un certificat feuille avec la chaîne complète de certificats de l'autorité de certification à l'exception de l'ancre de confiance (autorité de certification racine).

Conditions souhaitables :

Le nom d'hôte (CLIENT_NAME) utilisé pour l'inscription de certificats doit faire partie du Subject Alternative Name X509v3 sous le type DNS.
Le nom commun (CN) du nom d'objet ne doit pas être vide.

Remarque :

L'avertissement suivant est généré lorsque la commande vxsslcmd est exécutée et il peut être ignoré sans risque :

AVERTISSEMENT : impossible d'ouvrir le fichier de configuration : /usr/local/ssl/openssl.cnf

Cause 4

Le chemin d'accès à la configuration de certificat externe n'est pas configuré correctement.

Assurez-vous que les options suivantes de configuration de certificat externe sont configurées correctement :

ECA_CERT_PATH
ECA_TRUST_STORE_PATH
ECA_PRIVATE_KEY_PATH
ECA_CRL_PATH
ECA_CRL_CHECK

Assurez-vous de remplir les conditions suivantes :

Le certificat de l'hôte homologue possède le point de distribution de liste CRL (CDP).
Si vous n'avez pas spécifié ECA_CRL_PATH, NetBackup utilise les listes CRL dans les URL spécifiées dans le CDP du certificat de l'hôte homologue.
L'option ECA_CRL_PATH n'est pas un chemin d'accès volumeID sous Windows.

Exécutez la commande suivante et validez les paramètres de la configuration de certificat externe.

Sous UNIX : Install_Path/bin/nbgetconfig | grep ECA

Sous Windows : Install_Path/bin/nbgetconfig | findstr ECA

Pour plus d'informations sur les options de configuration, consultez le Guide de sécurité et de chiffrement NetBackup.

Cause 5

Les conditions requises qui sont mentionnées dans la Cause 3 ne sont pas remplies.

Le nom d'hôte (CLIENT_NAME) utilisé pour l'inscription de certificats ne fait pas partie du Subject Alternative Name X509v3 sous le type DNS.
Si l'inscription échoue avec cette erreur, effectuez l'une des opérations suivantes :
- Générez un nouveau certificat avec le nom d'hôte dans le Subject Alternative Name.
- Ajoutez ou mettez à jour (supprimez, puis ajoutez) le nom d'objet du certificat (conforme à la norme RFC 2253) dans la base de données des certificats externes sur le serveur maître.
  Exécutez la commande suivante pour ajouter une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup (seul un administrateur peut effectuer cette opération) :
  Install_Path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server master_server_name]
  Vous pouvez également exécuter la commande suivante pour supprimer une entrée pour l'hôte et le nom d'objet associé à partir de la base de données de certificats NetBackup, puis ajouter une entrée à l'aide de la commande -createECACertEntry (seul un administrateur peut effectuer cette opération) :
  Install_Path/bin/nbcertcmd -deleteECACertEntry -subject subject name of external cert [-server master_server_name]
Le nom commun (CN) du nom d'objet n'est pas présent dans le certificat.
Si l'inscription du certificat échoue avec cette erreur, effectuez l'une des opérations suivantes :
- Générez un nouveau certificat avec le nom commun dans le certificat.
- Générez un nouveau certificat avec le nom d'hôte dans le Subject Alternative Name.
- Ajoutez l'hôte dans la base de données des hôtes NetBackup et ajoutez une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup.
  Exécutez la commande suivante afin d'ajouter un hôte dans la base de données des hôtes NetBackup (seul un administrateur peut effectuer cette opération) :
  Install_Path/bin/admincmd/nbhostmgmt -addhost -host host_name | -hostId host_id [-server master_server_name]
  Exécutez la commande suivante afin d'ajouter une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup.
  Install_Path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server master_server_name]
  Le nom d'objet du certificat externe doit être conforme à la norme RFC 2253.

Cause 6

Échec de la vérification de révocation du certificat.

L'inscription de certificats externes peut échouer avec l'erreur de révocation de certificats pour les raisons suivantes :

Le certificat externe a été révoqué.
Le certificat du serveur Web a été révoqué.
La liste CRL n'est pas disponible sur l'hôte ou sur le serveur maître.

Se reporter à Dépannage des problèmes de révocation des certificats signés par une autorité de certification externe.

Pour plus de détails sur l'inscription de certificats externes dans NetBackup, consultez le Guide de chiffrement et de sécurité NetBackup.