搜索 <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

关于位于隔离区中的 NetBackup 客户端通过 HTTP 隧道与主服务器进行通信

在 NetBackup 部署设置中，客户端计算机可以位于仅通过特定 Web 端口进行通信的隔离区 (DMZ) 中。

所有 NetBackup 客户端都必须能够与主服务器上的 Web 管理服务进行通信，以部署安全证书和向对等方进行安全连接授权。例如，NetBackup 客户端向主服务器发送请求以部署证书，这对于安全的 NetBackup 通信至关重要。在 DMZ 设置中，客户端可能无法直接向主服务器发送 Web 服务请求。在此情况下，NetBackup 客户端通过 HTTP CONNECT 代理方法向介质服务器上的 HTTP 隧道发送连接请求和 Web 服务请求。HTTP 隧道接受连接请求并将 Web 服务请求转发到主服务器。

HTTP 隧道功能允许 DMZ 中的 NetBackup 客户端向主服务器发送 Web 服务请求。NetBackup 介质服务器形成一个 HTTP 隧道，将 Web 服务请求从 NetBackup 客户端转发到主服务器。后续 Web 服务通信使用安全套接字层 (SSL)。

注意:

NetBackup 客户端必须可以访问介质服务器上的端口号 1556 才能发送 Web 服务请求。

图：DMZ 设置中的 NetBackup 客户端和主服务器通信

在单域或多域环境中，当 DMZ 中的 NetBackup 客户端尝试向主服务器发送 Web 服务连接请求时，将遵循特定顺序：

表：连接请求发送顺序

顺序	描述
1. NetBackup 客户端尝试直接向主服务器发送连接请求。	在 DMZ 中，Web 服务连接请求可能会失败。
2. 如果直接连接失败，则客户端将检查介质服务器是否指定为使用 HTTP 隧道向主服务器发送 Web 服务连接请求。
3. 如果未指定介质服务器，则客户端将引用 NetBackup 配置中可用的介质服务器的列表并使用这些介质服务器发送 Web 服务连接请求。	NetBackup 客户端将维护一个内部缓存文件 (`websvctunnels.cache`)，其中包含根据先前成功的连接自动更新的介质服务器的列表。对于 Windows 和 UNIX，该缓存文件可在与 `bp.conf` 文件相同的位置中找到。

其他信息

以下附加选项可用于配置 HTTP 隧道功能：
- WEB_SERVER_TUNNEL_USE - 您可以在 NetBackup 客户端上使用此选项，以便使用 HTTP 隧道配置默认通信行为。
- WEB_SERVER_TUNNEL_ENABLE - 默认情况下，介质服务器上启用了 HTTP 隧道。您可以在介质服务器上使用此选项禁用 HTTP 隧道功能。
有关更多信息，请参考《NetBackup 管理指南，第 I 卷》。
如果 NetBackup 客户端配置不包含有关域中的介质服务器的信息，请在主服务器上运行 nbsetconfig 命令。Windows 客户端上的注册表或 UNIX 客户端上的 bp.conf 文件包含客户端选择用来发送连接和 Web 服务请求的主服务器和介质服务器。
如果在 DMZ 中的 NetBackup 客户端上使用 nbcertcmd -getCertificate 命令，且看到以下错误之一：
- EXIT STATUS 5955: 主服务器无法识别主机名。
- EXIT STATUS 5954: 无法将主机名解析为请求主机的 IP 地址。
使用令牌部署安全证书，因为主服务器无法将 HTTP 隧道的 IP 地址与请求证书的主机的身份相匹配。
如果使用 HTTP 隧道向主服务器发送证书请求，则 NetBackup 审核报告会将介质服务器列为用户。