Veritas NetBackup™ 故障排除指南

• 未正确配置用于通信的 Web 服务证书。

• 某些 NetBackup 核心服务未启动。

• 未满足外部证书所需的先决条件。

• 未正确配置外部证书配置路径 (ECA_CERT_PATH)。

• 证书吊销检查失败。

• NetBackup Web 服务器未配置为使用外部证书。

  显示以下错误：

  退出状态 26: 客户端/服务器握手失败。

  • 在主服务器上运行以下命令，以检查是否配置了外部 CA (ON/OFF)。

    Install_Path/nbcertcmd -getSecConfig -caUsage

    在 Windows 上：C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -getSecConfig -caUsage

    在 Unix 上：/usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -getSecConfig -caUsage

    例如：C:\Program Files\Veritas\NetBackup\bin>nbcertcmd -getSecConfig -caUsage

    输出：

    NBCA:OFF ECA:ON

    如果未配置外部 CA，则在 Web 服务器上运行 configureWebServerCerts 命令。

    在某些情况下，如果未在 Web 服务器上配置外部 CA，可能还会出现以下错误。

    退出状态 5982: 证书吊销列表不可用。

    在这种情况下，请先检查 ECA 参数的值。如果它为 OFF，请运行 configureWebServerCerts 命令。

• 用于通信的 Web 服务证书不受证书颁发机构信任。

  • 检查证书路径（configureWebServerCert -certPath 选项）是否具有包含整个 CA 证书链（信任定位点（根 CA）除外）的分支证书。

  • 运行以下命令以列出为 Web 服务器配置的证书。

    nbcertcmd -listallcertificates -jks

    在 Windows 上：C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks

    在 Unix 上：/usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks

  • 运行以下命令以列出 NetBackup 主服务器的主机证书详细信息。

    Install_Path/goodies/vxsslcmd x509 -in certificate_path -noout -text -purpose

    在 Windows 上：C:\Program Files\ VERITAS\NetBackup\bin\goodies\vxsslcmd x509 -in certificate_path -noout -text -purpose

    在 Unix 上：/usr/openv/netbackup/bin/netbackup/bin/goodies/vxsslcmd x509 -in certificate_path -noout -text -purpose

    验证主服务器的主机证书是否由 Web 服务器证书的同一根 CA 颁发。

    如果主机证书不是由 Web 服务器证书的同一根 CA 颁发，则通过该 CA 为 NetBackup 主服务器颁发新证书，并重新注册证书。

• Web 服务证书中未找到指定的服务器名称。

  服务器名称与服务器证书中列出的任何主机名都不匹配。

  服务器证书中列出的名称为:

  DNS: nb-master _ext

  DNS: nb-master .some.domain.com

  DNS: nb-master _web_svr EXIT STATUS 8509:

  在 NetBackup 主机上更新配置，以使其使用 Web 服务器证书中存在的名称之一指代主服务器，或者在证书中包括 NetBackup 域已知的所有主服务器名称。

• 通过从 NetBackup/bin 目录运行 bpps 命令检查以下服务的状态：

  • nbsl

  • vnetd -standalone

  • NB_dbsrv（在 UNIX 上）或 dbsrv16（在 Windows 上）

  有关 NetBackup 命令的更多详细信息，请参考《NetBackup 命令参考指南》。

• 启动 nbsl 和 vnetd 服务（如果未运行）。

• 启动 NB_dbsrv（在 Unix 上）服务或 dbsrv16（在 Windows 上）服务（如果未运行）。

请查看以下先决条件：

• 对于每个主机，使用者 DN 应唯一且保持稳定。它不应超过 255 个字符且不应为空。

• 证书使用者 DN 和 X509v3 使用者备用名称仅支持 ASCII 7 字符。

• 应在证书中设置服务器和客户端身份验证属性（SSL 服务器和 SSL 客户端）（或这些属性应为 true）。

• 证书为 PEM 格式。

• 只有 HTTP/HTTPS 支持 CRL 分发点 (CDP)。

• 用于证书注册的主机名 (CLIENT_NAME) 应属于 DNS 类型的 X509v3 使用者备用名称。

• 使用者名称的公用名称 (CN) 不应为空。

• ECA_CERT_PATH

• ECA_TRUST_STORE_PATH

• ECA_PRIVATE_KEY_PATH

• ECA_CRL_PATH

• ECA_CRL_CHECK

• 对等主机证书包含 CRL 分发点 (CDP)。

  如果未指定 ECA_CRL_PATH，NetBackup 将使用对等主机证书 CDP 中指定的 URL 中的 CRL。

• ECA_CRL_PATH 不是 Windows 上的 volumeID 路径。

• 用于证书注册的主机名 (CLIENT_NAME) 不属于 DNS 类型的 X509v3 使用者备用名称。

  如果注册失败并显示此错误，请执行以下操作之一：

  • 生成证书的使用者备用名称中包含主机名的新证书。

  • 在主服务器上的外部证书数据库中添加或更新（先删除，然后添加）证书的使用者名称（符合 RFC 2253 标准）。

    运行以下命令，在 NetBackup 证书数据库中为主机和关联的使用者名称添加条目（只有管理员可以执行此操作）：

    Install_Path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server master_server_name]

    或者，运行以下命令，从 NetBackup 证书数据库中删除主机和关联的使用者名称对应的条目，然后使用 -createECACertEntry 命令添加条目（只有管理员可以执行此操作）：

    Install_Path/bin/nbcertcmd -deleteECACertEntry -subject subject name of external cert [-server master_server_name]

• 证书中不存在使用者名称的公用名称 (CN)。

  如果证书注册失败并显示此错误，请执行以下操作之一：

  • 生成证书中包含公用名称的新证书。

  • 生成证书的使用者备用名称中包含主机名的新证书。

  • 在 NetBackup 主机数据库中添加主机，并在 NetBackup 证书数据库中为主机和关联的使用者名称添加条目。

    运行以下命令，在 NetBackup 主机数据库中添加主机（只有管理员可以执行此操作）：

    Install_Path/bin/admincmd/nbhostmgmt -addhost -host host_name | -hostId host_id [-server master_server_name]

    运行以下命令，在 NetBackup 证书数据库中为主机和关联的使用者名称添加条目。

    Install_Path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server master_server_name]

    外部证书的使用者名称应符合 RFC 2253 标准。

• 外部证书已吊销。

• Web 服务器证书已吊销。

• CRL 在主机或主服务器上不可用。