Guide de dépannage NetBackup™

• Le certificat du service Web qui est utilisé pour la communication n'est pas configuré correctement.

• Certains services principaux de NetBackup n'ont pas démarré.

• Les conditions requises pour le certificat externe ne sont pas remplies.

• Le chemin d'accès à la configuration de certificat externe (ECA_CERT_PATH) n'est pas configuré correctement.

• Échec de la vérification de révocation du certificat.

• Le serveur Web NetBackup n'est pas configuré pour utiliser des certificats externes.

  L'erreur suivante s'affiche :

  ETAT DE SORTIE 26 : Échec de négociation entre le client et le serveur.

  • Exécutez la commande suivante sur le serveur principal pour vérifier si l'autorité de certification externe est configurée (activée) ou non (désactivée).

    install_path/nbcertcmd -getSecConfig -caUsage

    Sous Windows : install_path\NetBackup\bin\nbcertcmd -getSecConfig -caUsage

    Sous UNIX : /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -getSecConfig -caUsage

    Par exemple : install_path\NetBackup\bin>nbcertcmd -getSecConfig -caUsage

    Sortie :

    NBCA:OFF ECA:ON

    Si aucune autorité de certification externe n'est configurée, exécutez la commande configureWebServerCerts sur le serveur Web.

    Dans certains cas, vous pouvez également obtenir l'erreur suivante, lorsqu'aucune autorité de certification externe n'est configurée sur le serveur Web.

    ETAT DE SORTIE 5982 : La liste de révocation des certificats n'est pas disponible.

    Dans ce cas, vérifiez d'abord la valeur du paramètre ECA. S'il est désactivé, exécutez la commande configureWebServerCerts.

• Le certificat du service Web qui est utilisé pour la communication n'est pas approuvé par une autorité de certification.

  • Vérifiez que le chemin d'accès au certificat (l'option configureWebServerCert -certPath) possède un certificat feuille avec la chaîne complète de certificats de l'autorité de certification à l'exception de l'ancre de confiance (autorité de certification racine).

  • Exécutez la commande suivante pour répertorier les certificats qui sont configurés pour le serveur Web.

    nbcertcmd -listallcertificates -jks

    Sous Windows : C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks

    Sous UNIX : /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks

  • Exécutez la commande suivante pour répertorier les détails du certificat de l'hôte du serveur principal NetBackup.

    install_path/goodies/nbsslcmd x509 -in certificate_path -noout -text -purpose

    Sous Windows : install_path\goodies\nbsslcmd x509 -in certificate_path -noout -text -purpose

    Sous UNIX : /usr/openv/netbackup/bin/netbackup/bin/goodies/nbsslcmd x509 -in certificate_path -noout -text -purpose

    Vérifiez si le certificat de l'hôte du serveur principal est émis par la même autorité de certification racine que le certificat du serveur Web.

    Si le certificat de l'hôte n'est pas émis par la même autorité de certification racine que le certificat du serveur Web, vous devez émettre un nouveau certificat avec cette autorité de certification pour le serveur principal NetBackup et réinscrire le certificat.

• Le nom de serveur spécifié est introuvable dans le certificat de service Web.

  Le nom de serveur ne correspond à aucun des noms d'hôte répertoriés dans le certificat du serveur.

  Les noms répertoriés dans le certificat du serveur sont :

  DNS: nb-primary _ext

  DNS: nb-primary .some.domain.com

  DNS: nb-primary _web_svr EXIT STATUS 8509:

  Mettez à jour la configuration sur l'hôte NetBackup afin que le serveur principal soit désigné par l'un des noms figurant dans le certificat du serveur Web ou ajoutez au certificat tous les noms du serveur principal connus du domaine NetBackup.

Procédez comme suit pour résoudre le problème :

• Exécutez la commande bpps à partir du répertoire bin de NetBackup pour vérifier l'état des services suivants :

  • nbsl

  • vnetd -standalone

  • postgres (UNIX) ou gestionnaire de bases de données relationnelles évolutives NetBackup (Windows)

• Redémarrez les services nbsl et vnetd, s'ils ne sont pas déjà en cours d'exécution.

• Redémarrez la base de données relationnelle évolutive NetBackup si elle n'est pas déjà en cours d'exécution.

Vérifiez les conditions préalables suivantes :

• Le nom unique d'objet doit être unique et stable pour chaque hôte. Il doit contenir moins de 255 caractères et ne doit pas être vide.

• Seuls les caractères ASCII 7 sont pris en charge dans le nom unique de l'objet du certificat et le Subject Alternative Name X509v3.

• Les attributs d'authentification serveur et client (serveur SSL et client SSL) doivent être définis (ou doivent être vrais) dans le certificat.

• Le certificat est au format PEM.

• Les points de distribution des listes CRL (CDP) sont pris en charge uniquement pour HTTP/HTTPS.

• Le nom d'hôte (CLIENT_NAME) utilisé pour l'inscription de certificats doit faire partie du Subject Alternative Name X509v3 sous le type DNS.

• Le nom commun (CN) du nom d'objet ne doit pas être vide.

• ECA_CERT_PATH

• ECA_TRUST_STORE_PATH

• ECA_PRIVATE_KEY_PATH

• ECA_CRL_PATH

• ECA_CRL_CHECK

• Le certificat de l'hôte homologue possède le point de distribution de liste CRL (CDP).

  Si vous n'avez pas spécifié ECA_CRL_PATH, NetBackup utilise les listes CRL dans les URL spécifiées dans le CDP du certificat de l'hôte homologue.

• L'option ECA_CRL_PATH n'est pas un chemin d'accès volumeID sous Windows.

• Le nom d'hôte (CLIENT_NAME) utilisé pour l'inscription de certificats ne fait pas partie du Subject Alternative Name X509v3 sous le type DNS.

  Si l'inscription échoue avec cette erreur, effectuez l'une des opérations suivantes :

  • Générez un nouveau certificat avec le nom d'hôte dans le Subject Alternative Name.

  • Ajoutez ou mettez à jour (supprimez, puis ajoutez) le nom d'objet du certificat (conforme à la norme RFC 2253) dans la base de données des certificats externes sur le serveur principal.

    Exécutez la commande suivante pour ajouter une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup (seul un administrateur peut effectuer cette opération) :

    install_path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server primary_server_name]

    Vous pouvez également exécuter la commande suivante pour supprimer une entrée pour l'hôte et le nom d'objet associé à partir de la base de données de certificats NetBackup, puis ajouter une entrée à l'aide de la commande -createECACertEntry (seul un administrateur peut effectuer cette opération) :

    install_path/bin/nbcertcmd -deleteECACertEntry -subject subject name of external cert [-server primary_server_name]

• Le nom commun (CN) du nom d'objet n'est pas présent dans le certificat.

  Si l'inscription du certificat échoue avec cette erreur, effectuez l'une des opérations suivantes :

  • Générez un nouveau certificat avec le nom commun dans le certificat.

  • Générez un nouveau certificat avec le nom d'hôte dans le Subject Alternative Name.

  • Ajoutez l'hôte dans la base de données des hôtes NetBackup et ajoutez une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup.

    Exécutez la commande suivante afin d'ajouter un hôte dans la base de données des hôtes NetBackup (seul un administrateur peut effectuer cette opération) :

    install_path/bin/admincmd/nbhostmgmt -addhost -host host_name | -hostId host_id [-server primary_server_name]

    Exécutez la commande suivante afin d'ajouter une entrée pour l'hôte et le nom d'objet associé dans la base de données des certificats NetBackup.

    install_path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server primary_server_name]

    Le nom d'objet du certificat externe doit être conforme à la norme RFC 2253.

• Le certificat externe a été révoqué.

• Le certificat du serveur Web a été révoqué.

• La liste de révocation de certificats n'est pas disponible sur l'hôte ou sur le serveur principal.