Project

General

Profile

Tâche #20355

Scénario #21473: Corrections sur le module SETH

erreur samba_dnsupdate sur le DC principal dns_tkey_negotiategss: TKEY is unacceptable

Added by Emmanuel IHRY about 3 years ago. Updated almost 3 years ago.

Status:
Ne sera pas résolu
Priority:
Normal
Assigned To:
Start date:
01/23/2017
Due date:
% Done:

0%

Estimated time:
2.00 h
Remaining (hours):
2.0

Description

Le problème a déjà été découvert dans le cadre de cette demande #17612.

Mais il a des conséquences importantes : le processus samba_dnsupdate ne s'éxécutant pas, les enregistrements DNS SRV ne sont pas mis à jour sur les DC, et par conséquent pour tout le domaine.

Le test a été fait avec deux DC pour un même domaine AD, avec 4 sites. Deux sites ayant un DC rattaché. L'update DNS doit aboutir à la création d’enregistrement DNS SRV pour chacun des Sites ayant un DC. Or cela n'a pas fonctionné du fait de cette erreur.

Cette erreur n'a été constaté que sur le DC principal, mais elle pose un pb pour tout le domaine. Car la commande équivalente lancée sur le DC secondaire ne met pas à jour les enregistrements DNS du site auquel est rattaché le DC primaire.

L’erreur a été résolue sur le DC principale en modifiant le fichier resolvconf : il a suffit de mettre en commentaire les DNS autres que les DNS Samba .

Question : est- il logique de faire référence à tous ces serveurs DNS ? ne faudrait il pas se contenter de la ligne qui correspond au serveur AD lui-même ?

NB : en fait il y a beaucoup de littérature sur le pb dns_tkey_negotiategss: TKEY is unacceptable, mais dans le où samba s'appuie sur Bind en Backend.

Peut être dans notre cas, le process samba_dnsupdate pense dialoguer avec un Bind (c'est le cas pour nos forwarder nationaux décrits dans le resolv.conf), ce qui provoquerait cette erreur ?

History

#1 Updated by Emmanuel IHRY about 3 years ago

  • Project changed from Distribution EOLE to EOLE AD DC
  • Description updated (diff)

#2 Updated by Emmanuel IHRY about 3 years ago

  • Description updated (diff)

Pour aller plus loin, et au vu des doc d'installation samba AD, je me demande si on ne devrait pas changer la configuration du SETH en faisant en sorte que le resolv.conf ne contienne que :

search mondomaine.lan
nameserver 127.0.0.1

Et que les forwarder saisis dans l'écran général gen_config alimentent uniquement le fichier smb.conf pour la variable dns forwarder =
https://dev.tranquil.it/wiki/SAMBA_-_Installation_d%27un_AD_Samba_pour_un_nouveau_domaine.

Il faudrait dans ce cas là sans doute aussi envisager de modifier le processus d'instance du DC secondaire en ajoutant l'option --server=SERVER (DC to join) à la commande samba-tool domain join, dans la mesure où si l'on configure le SETH de cette manière, ce sera sans doute la seule manière pour le secondaire de trouver le principal. (voir aussi #20331)

#3 Updated by Emmanuel IHRY about 3 years ago

  • Parent task changed from #20131 to #20361

#4 Updated by Emmanuel IHRY about 3 years ago

  • Estimated time set to 4.00 h
  • Remaining (hours) set to 4.0

#5 Updated by Emmanuel IHRY about 3 years ago

  • Parent task changed from #20361 to #20584

#6 Updated by Emmanuel IHRY about 3 years ago

  • Parent task changed from #20584 to #20583

#7 Updated by Emmanuel IHRY about 3 years ago

  • Subject changed from erreur samba_dnsupdate sur le DC principal dns_tkey_negotiategss: TKEY is unacceptable to erreur samba_dnsupdate sur le DC principal dns_tkey_negotiategss: TKEY is unacceptable
  • Description updated (diff)
  • Assigned To set to Emmanuel IHRY

#8 Updated by Emmanuel IHRY about 3 years ago

  • Parent task changed from #20583 to #20896

#9 Updated by Emmanuel IHRY about 3 years ago

  • Estimated time changed from 4.00 h to 2.00 h
  • Remaining (hours) changed from 4.0 to 2.0

pb en observation

#10 Updated by Emmanuel IHRY almost 3 years ago

  • Parent task changed from #20896 to #20916

#11 Updated by Emmanuel IHRY almost 3 years ago

  • Parent task changed from #20916 to #21104

#12 Updated by Emmanuel IHRY almost 3 years ago

  • Parent task changed from #21104 to #21183

Problème en observation. à suivre dans le cadre des sites pilotes

#13 Updated by Michel BALLY almost 3 years ago

Même phénomène lors de la mise en place du 1er DC local d'un site pilote

La création des sites a été faite en préalable mais dans le DNS, les sites ne sont pas à jour et du coup ce DC local ne peut s'enregistrer
La commande samba_dnsupdate a planté pour remettre à jour le DNS et tout est rentré dans l'ordre en ne gardant que son IP dans resolv.conf

#14 Updated by Emmanuel IHRY almost 3 years ago

  • Assigned To changed from Emmanuel IHRY to Benjamin Bohard

#15 Updated by Emmanuel IHRY almost 3 years ago

  • Parent task changed from #21183 to #20777

#16 Updated by Emmanuel IHRY almost 3 years ago

Sur la version 4.6, l'erreur que nous avons rencontré sur les DC additionnel s'explique par un bug samba qui sera résolu en 4.7

En version 4.6, sur un DC additionnel, si la commande "samba_dnsupdate --verbose" provoque des erreurs "dns_tkey_negotiategss: TKEY is unacceptable", cela signifie que le serveur ne parvient pas à créer localement les enregistrements DNS requis.

Il faut alors utiliser la commande suivante commande qui créera les enregistrements DNS sur le serveur primaire. Ces enregistrements deviendront ensuite disponibles sur les autres DC à la prochaine réplication.

samba_dnsupdate --use-samba-tool --rpc-server-ip=ip_DC_primaire

Pas testé si cette commande résout le pb de "dns_tkey_negotiategss: TKEY is unacceptable" sur un serveur primaire. Pour le moment on a toujours eu recours à la simplification du resolv.conf qui a débloqué le pb.
Et je reste convaincu qu'il faudrait simplifier le resolv.conf en identifiant que l'IP du serveur sur lequel on est...

#17 Updated by Emmanuel IHRY almost 3 years ago

  • Parent task changed from #20777 to #21473

#18 Updated by Emmanuel IHRY almost 3 years ago

  • Status changed from Nouveau to Ne sera pas résolu

La commande samba_dnsupdate --use-samba-tool --rpc-server-ip=ip_DC_primaire résoud le pb sur un DC primaire.

On peut donc laisser tel quel pour le moment et réétudier le pb avec samba 4.7.

Also available in: Atom PDF