This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Active Directory Domain rejoin nach HA active/passiv switchover erforderlich

Einen schönen guten Tag in die Runde.

Heute habe ich unser SG 550 HA Cluster (active/passive) testweise umgeswitched mit dem Konsolenbefehl "ha_daemon -c takeover".

Danach war die SSO Funktion gegen unsere Active Directory nicht mehr möglich und ich musste ein rejoin machen.

Ich vermute mal, dass die beiden UTMs verschiedene IDs haben und immer nur eines der beiden Geräte Mitglied der Domäne sein kann. Nach einem Switchover stimmt die ID nicht mit der in der AD hinterlegten überein und ein SSO ist nicht mehr möglich.

Welche Erfahrungen gibt es hier in der Community, wenn SSO über ADS mit einem active/passive Cluster eingesetzt wird und ein Switchover stattgefunden hat?

Schöne Grüße

Christian

This thread was automatically locked due to age.

Parents

0 astiadmin over 8 years ago

DAs hier war übrigens die Meldung von der UTM:

Betreff: [WARN-531] Directory Services synchronization

There was an error synchronizing subscribed groups. The Sophos UTM will continue to operate with a locally cached copy of the data but will be unable to update from Directory Services until the issue is resolved.

Error was:
failed to run samba command on <domainname>, exiting now

--

HA Status          : HA MASTER (node id: 2)
System Uptime      : 4 days 17 hours 35 minutes
System Load        : 0.56
System Version     : Sophos UTM 9.414-2
Cancel
Vote Up 0 Vote Down

Cancel
0 ChristianBock1 over 8 years ago in reply to astiadmin

Und genau das kann ich mit einem manuellen failover Switch reproduzieren.

Bei einem automatischen Failover braucht es also händische Nacharbeiten.

Das ist leider nicht so gut.
Cancel
Vote Up 0 Vote Down

Cancel
0 astiadmin over 8 years ago in reply to ChristianBock1

Da hast Du Recht. Mir scheint das aber ein neues Problem zu sein, sonst müsste das bei uns schon viel früher mal aufgetreten sein. Die letzten Updates für die UTM scheinen nicht das Gelbe vom Ei zu sein. Ich bin froh, dass ich die 9.5 noch nicht eingespielt hab. :-)
Cancel
Vote Up 0 Vote Down

Cancel
0 ChristianBock1 over 8 years ago in reply to astiadmin

Ob das mit 9.4 noch anders war, weiß ich nicht. Wir haben erst nach einem Jahr auf AD SSO umgestellt - was ich persönlich nie wollte.

Rein theoretisch handelt es sich bei zwei UTM um zwei verschiedene Geräte. Ich kann ja auch nicht zwei verschiedene PCs gleichzeitig mit dem selben Namen in die AD aufnehmen. SID und Name in der AD sind doch 1:1 - oder irre ich da.

Schöne Grüße aus dem Urlaub

Christian
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni over 8 years ago in reply to ChristianBock1

Hallo,

Ist das Verhalten mit 9.502 auch reproduzierbar?

Gruß
Cancel
Vote Up 0 Vote Down

Cancel
0 ChristianBock1 over 8 years ago in reply to LuCar Toni

Ja, hatte extra aktualisiert, weil ich da was gelesen hatte.
Cancel
Vote Up 0 Vote Down

Cancel

Reply

0 ChristianBock1 over 8 years ago in reply to LuCar Toni

Ja, hatte extra aktualisiert, weil ich da was gelesen hatte.
Cancel
Vote Up 0 Vote Down

Cancel

Children

0 tkaufi over 8 years ago in reply to ChristianBock1

Hi Leidgeplagte...

Wir haben bei unsererm SG330 active/passive HA Cluster die gleichen Probleme mit SSO.

Hat schon in der 9.414 angefangen, dann hiess es auf 9.5 umstellen. Gemacht, aber SSO tut immer noch nicht so, wie es soll.

Domain-Rejoin gemacht.

Seither spinnt der HA sync, weil er probleme hat die postgressql DB zwischen Master und Slave abzugleichen.

Call bei Sophos läuft, aber...die schlafen :-(

CU

Thomas
Cancel
Vote Up 0 Vote Down

Cancel