搜索 <book_title>...

Veritas NetBackup™ 故障排除指南

Last Published: 2021-07-28

Product(s): NetBackup (9.1)

配置外部 CA 后的 Web 服务问题故障排除

问题

配置外部证书 (ECA) 后，Web 服务无法启动或响应。

原因

检查位于以下位置的 Web 服务器日志：

install_path/wmc/webserver/logs/catalina.log

检查日志是否包含以下任何字符串：

SEVERE [main] org.apache.tomcat.util.net.SSLUtilBase.getStore Failed to load keystore type [JKS] with path [C:\Program Files\Veritas\NetBackup\var\global\wsl\credentials\tpcredentials\nbwebservice.jks] due to [Illegal character in opaque part at index 2: C:\Program Files\Veritas\NetBackup\var\global\wsl\credentials\tpcredentials\nbwebservice.jks]

Caused by: java.lang.IllegalArgumentException: Keystore was tampered with, or password was incorrect

根本原因可能是：NetBackup Web 服务使用的外部 CA 的 keystore 已被篡改或删除。

解决方法

验证 NetBackup Web 管理控制台服务是否正在运行。
运行以下命令：
在 UNIX 上：/usr/openv/netbackup/bin/bpps -x
在 Windows 上，使用 NetBackup 活动监视器或 Windows 控制面板中的服务应用程序。
如果状态为 FAIL，则通过执行以下命令重新配置外部证书：
在 Windows 上：Install path\netbackup\wmc\bin\configureWebServerCerts -addExternalCert -nbHost -certPath file_path -privateKeyPath file_path -trustStorePath file_path
在 Unix 上：/usr/openv/netbackup/bin/configureWebServerCerts -addExternalCert -nbHost -certPath file_path -privateKeyPath file_path -trustStorePath file_path
尝试启动 NetBackup Web 服务。
对于 Windows：Install path\netbackup\wmc\bin\nbwmc.exe -start -srvname "NetBackup Web Management Console"
对于 Unix：/usr/openv/netbackup/bin/nbwmc start

问题

未配置外部证书。

原因

发生该问题的可能原因如下：

证书、私钥或信任存储区无效。
错误消息：无法添加证书。请检查 configureWebServerCerts 日志。
证书的使用者备用名称 (SAN) 中不包含服务器名称。

针对“证书、私钥或信任存储区无效”这一原因的解决方法

打开 Web 服务器配置日志
位置：<安装目录>/NetBackup/wmc/webserver/logs/configureWebServerCerts.log
查看日志消息：
- 如果日志包含以下消息：
  unable to load private key 22308:error:0906D06C:PEM routines:PEM_read_bio:no start line:.\crypto\pem\pem_lib.c:697:Expecting: ANY PRIVATE KEY Could not export certificates in PKCS#12 format, 1.
  私钥与提供的证书的私钥不一致。
  提供相应的私钥。
- 如果日志包含以下消息：
  Error occurred while adding certificate to keystore. Exception: java.security.cert.CertificateParsingException: signed overrun, bytes = 918 Exiting.. Could not import CA certificates in JAVA keystore, -1.
  为 -trustStorePath 选项提供的文件路径不是有效文件路径，或在给定的文件路径不存在有效的信任存储区 CA 证书。
  为 -trustStorePath 选项提供信任存储区捆绑路径。

针对“证书的使用者备用名称 (SAN) 中不包含服务器名称”这一原因的解决方法

显示以下错误消息：

The server name server_name was not found in the web service certificate.

无法添加证书。请检查 configureWebServerCerts 日志。

为了成功完成配置，请确保满足以下条件：

使用者名称的公用名称和 SAN 名称不应同时为空。
如果 SAN 不为空，则 SAN 条目中必须存在主机名。
如果 SAN 为空，则使用者名称的公用名称必须是主机名。
仅允许使用 PEM 格式的证书。
注意:
主机名是在安装时为主服务器提供的名称。可以在 setenv 文件的 NB_HOSTNAME 属性中找到主机名。
文件位置：
在 UNIX 上：/usr/openv/wmc/bin/setenv
在 Windows 上：install_path\Veritas\NetBackup\wmc\bin\setenv
在以下情况下，通信可能会成功：
- 证书的 SAN 字段包含可识别主服务器的所有主机名（域中其他主机的 SERVER 条目中列出的主机名）。
- 在证书中设置了服务器身份验证属性。
检查日志中是否缺少条目。
在证书的 SAN 中添加缺少的主机名。