CNESA - SE_You的文章

SE_You 的文章

云&虚拟化

HCS 821云平台OC告警进程未启动，告警源组件是alarmserver

问题描述 OC告警进程未启动，告警流水号102632723，告警源组件是alarmserver。处理过程 1.根据告警详情中的定位信息，通过账户apigateway登录问题节点APIGateway管理虚拟机。 2.执行如下命令重启alarmserver进程。 sh /opt/apigateway/alarmserver/shell/restart.sh 3.通过执行如下命令查看alarmserver进程状态。normal为正常。 sh /opt/apigateway/alarmserver/shell/health_check.sh 4.删除告警后不再出现。建议与总结当API网关的alarmserver组件进程没有启动时，产生该告警。免责声明：本案例仅供参考不提供专业意见。

SE_You 2022-06-19

4 0 0
云&虚拟化

VMware Workstation虚拟机导出OVA或OVF格式的方法

VMware Workstation等虚拟机软件均支持导出虚拟机，导出的虚拟机可以转移到其他虚拟机里直接导入避免重复安装和部署，其中VMware默认导出的虚拟机格式是OVF，而有的虚拟机只能通过OVA格式导入。要从VMware里导出OVA格式其实非常简单，尽管VMware选项提供的是OVF但我们只需要在导出的时候手动将格式改为OVA即可，但请记住不要导出OVF后再改后缀，这样可能不行。 OVF与OVA格式的区别： OVF是开放虚拟化格式，OVA是开放虚拟化设备，无论是OVF还是OVF格式都包含虚拟机的必要信息。区别主要是包的描述和封装方式不同，OVF包封装时有几个必要文件，包括OVF描述文件和XML文件以及其他文件，而OVA是将所有文件封装到一个OVA文件里。所以OVA封装的好处是一个文件就可以保存到任何地方在需要的时候直接导入。比如OVA包可以导入群晖的Virtual Machine Manager虚拟机套件里，群晖VMM套件不支持直接导入OVF格式。

SE_You 2022-06-19

60 0 0
防火墙

IPV6经过防火墙（透明）直连ping不通

1、故障背景场景拓扑故障现象描述 IPV6专线经过二层交换机和透明防火墙连接到核心交换机，核心交换机配置IPV6地址后ping不通直连网关地址 2、故障排查 2.1 故障定位环境问题 2.2 故障原因分析 1、S5700的25口是上联口，26口是下连口接防火墙，防火墙下联是核心，IPV6在核心交换机的三层口配置，防火墙是透明模式 2、防火墙上没有放行IPV6策略，远程协助用户配置后还是ping不通V6网关地址 3、防火墙上抓包查看v6的ping包已经发出去了，但是没收到回报，从S5700上镜像抓包发现g0/26口没有发送reply报文 4、查看二层交换机S57收发的报文进行对比，存在差异，S57发出去的报文源MAC地址是核心交换机的，目的MAC是专线对端，但是对端会包的目的MAC却是S57的MAC，S57收到的正常报文目的MAC应该是和核心交换机的MAC地址才对。综上判断是S5700交换机收到专线的reply包后没有转发给防火墙，且收发包存在MAC不一致现象。 3、故障解决方案/规避方案清除专线对端设备的IPV6neighbor 或者等待专线对端设备的邻居表老化重新学习MAC 以上两种方式再重新学习邻居后可解决问题，最终IPV6可达

SE_You 2022-06-16

10 0 0
防火墙

全新NGFW ONC引流方案故障处理案例

1、故障背景场景拓扑现网拓扑和业务说明如下：整体方案采用INC ServiceChain引流方案，模式为透明模式（no sw+no ip）模式。防火墙采用路由模式虚拟连接对方法。故障现象描述开启INC的业务编排，对业务进行引流到防火墙后，业务不通。 2、故障排查方法 2.1故障定位此故障为硬件问题，是由于防火墙NP芯片故障导致。 2.2故障原因分析 1、定位故障点防火墙进行sniffer抓包，现场并未抓取到报文，怀疑是引流交换机问题。防火墙抓包命令：diagnose sniffer packet any ‘host x.x.x.x’ 4 l 如果有抓到报文，但没有进行转发，可确定是防火墙问题，可结合debug功能判断是什么原因导致的丢包。 diagnose debug enable //开启debug diagnose debug flow filter addr x.x.x.x //过滤x.x.x.x的地址相关debug信息 diagnose debug flow trace start 10 //打印10条debug信息如果没有抓取到报文，大概率是引流交换机方面的问题。 2、查看INC和交换机配置，并未发现问题 3、查看INC下发的流表使用show of flow 查看流表下发情况，参数是否正确以及count值是否有变化。如果相应的count字段的数值有不断增加，说明引流成功。获取的其中一个流表如下： {table="0", duration_sec="177", priority="1500", flags="0x0",idle_timeout="0", hard_timeout="0", cookie="0xe51efb3520000",packet_count="10",byte_count="1298".match=oxm{in_port=“1",eth_type="0x800",ipv4_src=“30.7.0.0",ipv4_src_mask="255.255.255.0"}instructions=[apply{acts=[set_field{field:eth_src=“00:d0:f8:22:33:e5"}, set_field{field:eth_dst="1a:11:11:11:13"}, output{port=“2"}]}]} 相关字段解析： 1) duration_sec="177" 表项存在的时间 2) priority=“1500”：该流表的优先级，越大越优先。 3) ……

SE_You 2022-06-14

31 0 0
防火墙

全新NGFW-LDAP认证故障处理案例

1、故障背景场景拓扑故障现象描述背景描述：外网员工使用SSLVPN拨入内网，VPN拨号的账号密码需要到服务器上做认证，防火墙通过LDAP将客户端的账密发送到服务器验证，验证通过即可拨入VPN。故障现象：使用本地账号密码可以认证成功，但是通过LDAP认证失败。 2、故障排查 2.1故障定位原因：用户提供的防火墙查询账号密码错误，以及账户超期导致LDAP认证失败 2.2故障原因分析 1、对比服务器上的根，OU，containers，Group，在防火墙上设置对应属性，这些属性只能在命令行配置，配置如下图： 2、防火墙上有测试LDAP认证的命令，命令如下，如图防火墙上测试提示失败，说明防火墙的LDAP配置参数可能有误。 diagnose test authserver ldap <LDAP server_name> <username> <password> 3、通过以下命令可以查看LDAP认证过程，debug显示内容如下，标注的地方可以看出认证错误的原因分别是账号密码错误和账户超期导致认证失败。 # diagnose debug application fnbamd –1 # diagnose debug enable [1148] fnbamd_ldap_recv-Response len: 104, svr: 192.168.1.10 [829] fnbamd_ldap_parse_response-Got one MESSAGE. ID:1, type:bind [851] fnbamd_ldap_parse_response-Error 49(80090308: LdapErr: DSID-0C09042A, comment: AcceptSecurityContext error, data 52e, v3839) <----- 这两个提示信息表示LDAP 身份认证无效，data52e一般代表账号密码错误 [864] fnbamd_ldap_parse_response-ret=49 [753] __ldap_stop-svr 'AD_LDAP' [182] fnbamd_comm_send_result-Sending result 1 (error 0, nid 0) for req 237259384 authenticate 'user1' against 'AD_LDAP' failed! [860] fnbamd_ldap_send-sending 116 bytes to 192.168.1.182 . . . [764] fnbamd_ldap_parse_response-Got one MESSAGE. ……

SE_You 2022-06-12

30 0 0
云&虚拟化

dcs hostos升级，现网端口不通

问题描述 dcs hostos升级，现网端口不通处理过程解决方案放开端口免责声明：本案例仅供参考不提供专业意见。

SE_You 2022-06-09

3 0 0
硬件天地

License激活失败可能原因汇总及解决方法

问题描述 License激活失败可能原因汇总及解决方法；解决方案一、License激活失败可能原因： 1.License文件不合法。 2.输入的License文件不存在。 3.License文件过期。 4.License文件与系统软件不匹配。 5.设备的ESN与License文件对应的ESN不一致。二、解决方法： 1.如果设备显示信息为：“Error: The filename is invalid, and the postfix of the file name must be 'dat'.”。该显示信息说明待激活文件的文件名后缀不合法，License文件名的后缀必须为“.dat”，该文件不是license文件。请激活正确的license文件。 2.如果设备显示信息为：“Error: The specified file does not exist or is illegal.”。请确认输入的License文件是否存在或是否文件名输入不合法。 3.如果设备显示信息为：“Info: License File expired.”。该显示信息说明license文件已经过期，请重新申请或者购买新的License。 4.如果设备显示信息为：“Info: License file validation failed.”。该显示信息说明license文件校验失败，请重新申请或者购买新的License。 5.如果设备显示信息为：“No product features present in LK”。该显示信息说明license文件和产品信息不匹配，请重新申请或者购买新的License。 6.如果设备显示信息为：“Info: License File with ESN or Version mismatch cannot be activated repetitively.”。该显示信息说明已经激活过一次ESN或版本不匹配的License，请重新申请或者购买新的License。如果通过以上步骤仍然无法成功激活License，请收集错误提示信息，并联系华为技术工程师进行处理；如果是license申请或者合并请发送邮件至license@huawei.com ，如果是故障类的请致电4008229999或者发邮件至support_e@huawei.com。免责声明：本案例仅供参考不提供专业意见。

SE_You 2022-05-29

71 0 0
网络安全

IPS时延引入问题与推荐部署

问题描述【问题描述】银行客户数据中心网络，客户要求防火墙使能安全策略，使能IPS，AV,URL Filtering等内容安全的功能，东西向流量过防火墙处理。使能IPS功能以后，现网业务时延明显增大，银行部分转账业务出现失败，业务体验质量下降。如何确保网络安全前提下，端到端业务体验不下降？【版本信息】 USG12004 V600R022C00SPC100 【组网概述】东西向互访都过防火墙告警信息【告警信息】端到端的时延增大明显，时延从3-5 ms增长xx ms，转账业务失败。处理过程【问题定位】现网峰值流量10Gbps, 平均报文长度570bytes。现网使能IPS检查端到端时延增大到50+ms；去使能IPS时延回到3-5ms，转账等业务功能恢复正常。IPS影响网络时延实验室简化拓扑，进行模拟测试，流量增大20-30Gbps，IPS开启前平均时延3ms以内，IPS开启后平均时延100ms。 IPS Patch Test Throughtput (GB) Packet Size (Bytes) Test Throughtput (GB) Session Rate Concurrent Session CPU Usage (%) Latency(ms) Average DNS FTP HTTP HTTPS No IPS NO 20 512 19.89 43,372 974,731 vCPU1,3&4: 23,0,0 1 0.13 0.85 5 1.4 No IPS NO 30 512 30.08 61,318 1,455,083 vCPU1,3&4: 24,0,0 1.1 0.13 0.85 5 1.4 No IPS NO 20 256 21.84 36,335 864,163 vCPU1,3&4: 15,0,0 2.75 0.27 1.75 16 3.8 No IPS NO 30 256 30.29 53,629 1,273,264 vCPU1,3&4: 26,0,0 2.5 0.25 1.6 15.5 3.75 IPS NO 20 512 20.16 43,185 1,024,088 vCPU1,3&4: 25,42,44 70 1.85 1000 6 4.5 IPS NO 30 512 30.2 59,713 1,479,210 vCPU1,3&4: 84,58,58 100 1.75 1000 6 4……

SE_You 2022-05-29

12 0 0
CentOS

ERROR: Unable to load the ‘nvidia-drm‘ kernel module.

centos 7安装NVIDIA参考《CentOS 7 安装 NVIDIA 显卡驱动和 CUDA Toolkit》安装tf gpu遇到问题一： centos 7 安装 nvidia驱动时遇到的ERROR: Unable to load the 'nvidia-drm' kernel module问题，网上查询大部份查询都是说出现这个问题最有可能的原因是你安装的Ubuntu是UEFI模式启动的，但是在BIOS中却打开了Security BOOT选项。正确做法是禁用该选项。我的是禁用的。解决办法：核版本不一致导致的失败 # uname -r # ll /usr/src/kernels/ 查询的结果不一致，解决办法，升级内核 #yum -y update 问题二：ImportError: libcublas.so.9.0: cannot open shared object file: No such file or directory。当装完CUDA,CUDNN后调TF报这个错 1.是否正确添加的环境变量。我当时装的时候由于安装失败反复安装CUDA9.0,10.0等，环境变量等引用出现了问题。 libcublas.so.9.0代表TF对应的是CUDA9.0，libcublas.so.1.0对应的是CUDA10.0，同理。 2.显卡和CUDA不匹配，很多新显卡不支持低版本的CUDA，升级对应版本的cuda,cudnn,tf,NVIDIA,版本对应关系网上很好查到,不再复制了。注：今天再次装新机的时候，使用#yum -y update后还是未能装成功报相同的问题，经查 #uname -r #rpm -q kernel-devel 结果不一致，经查，服务器同存在 3.10.0-957.el7.x86_64 3.10.0-1062.18.1.el7.x86_64，删除3.10.0-957.el7.x86_64后重启服务器， # rpm -qa|grep kernel 删除旧的 # rpm -e kernel-3.10.0-957.el7.x86_64 重启 #reboot 安装成功。

SE_You 2022-05-24

165 0 0
CentOS

CentOS 7 安装 NVIDIA 显卡驱动和 CUDA Toolkit

此教程是介绍于 CentOS 7 以上的 Linux 系统中安装 NVIDIA 显卡驱动和 CUDA Toolkit 。此文中以 CentOS 7.4 64 bit 为例，显卡型号为 NVIDIA Tesla P4，CUDA 9.0，所有操作在终端以 root 身份运行。 1 先安装好 Linux CentOS 7.4 操作系统，建议直接 minimal installation，也就是大部分包都不安装，桌面也不需要。 2 查看系统内核版本 # uname -r 3.10.0-693.el7.x86_64 ; 不同操作系统的内核版本会不一样，最好记住它 # df ; 确认 boot 目录的空间不少于 300 MB 3 屏蔽 nouveau 驱动 nouveau 是系统自带的一个显示驱动程序，需要先将其禁用，然后再进行下一步操作，否则在安装显卡驱动时，会提示：You appear to be running an X server …，然后安装失败。分别打开如下两个文件（如果没有就创建一个），并在其中输入如下两句，然后保存。 # vim /etc/modprobe.d/nvidia-installer-disable-nouveau.conf # vim /lib/modprobe.d/nvidia-installer-disable-nouveau.conf ... blacklist nouveau options nouveau modeset=0 或者直接运行 NVIDIA 显卡驱动安装包（*.run），会出现提示：One or more modprobe configuration files to disable Nouveau have been written … 点击 OK 之后，会自动在指定位置创建好禁用 nouveau 驱动的文件，这样就不需要再手动添加。 4 重做 initramfs 镜像这一步需要确保 boot 文件目录的空间足够，否则会失败。建议大于 400 MB # cp /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).img.bak # dracut /boot/initramfs-$(uname -r).img $(uname -r) # rm /boot/initramfs-$(uname -r).img.bak ; 这一步可不执行 5 重启如果之前在图形界面操作，需要改为终端模式，runlevel 改为 3 # systemctl set-default multi-user.target # init 3 # reboot 6 预安装……

SE_You 2022-05-24

58 0 0