Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 20 replies
  • Subscribers 0 subscribers
  • Views 13468 views
  • Users 0 members are here
Options
Suggested

[9.171][BUG]AD Group Sync Fails

DavidRa
Not sure which log to grab and post, but I've configured a pair of AD servers as authentication sources (within the same domain). Both are local to the UTM. I've also configured group membership sync.

About every 2 hours I get the following alert:

There was an error synchronizing subscribed groups. The Sophos UTM will
continue to operate with a locally cached copy of the data but will be
unable to update from Directory Services until the issue is resolved.

Error was:
failed to run samba command on ACTIVE.DIRECTORY, exiting now
       
-- 
System Uptime      : 1 day 2 hours 51 minutes
System Load        : 0.83
System Version     : Sophos UTM 9.171-2

Please refer to the manual for detailed instructions.

I believe I can force the error if I go to Definitions & Users > Authentication Services > Advanced > Active Directory Group Membership Synchronization > Synchronize Now.

If someone can suggest logs / config data to post to diagnose, I'm more than happy to do so.
Parents
  • 0
    OK my apologies for tardiness. Herewith the relevant part of an unsanitised but relatively boring fallback.log: 

    2013:11:27-22:07:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:12:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:17:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Started in full mode

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 2 server(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 4 adirectory group(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 1 Active Directory sid(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Found sid for CN=Domain Admins,CN=Users,DC=middle,DC=earth => S-1-5     -21-385347296-2415236108-505384329-512

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 4 adirectory group(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 1 Active Directory sid(s)

    2013:11:27-22:19:02 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Found sid for CN=Domain Admins,CN=Users,DC=middle,DC=earth => S-1-5     -21-385347296-2415236108-505384329-512

    2013:11:27-22:22:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:27:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:32:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  flushing old values

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  rotating journals

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  started new journal /var/log/reporting/rrd/rrd.journal.1385552150.611337

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  removing old journal /var/log/reporting/rrd/rrd.journal.1385544950.608813

    2013:11:27-22:37:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.


    I have attempted to run the ad-sync script, but I note that the UTM has stored the password for the user account used to join the domain (AD SSO). That password has since changed (and I would suggest there's no mention of using a particular account to join the domain - most Samba systems maintain their own secure channel do they not?) - should I post that one as a separate bug/thread?

    In any case, updating the SSO password leaves me in the same position as jz. NET ADS TESTJOIN may also suggest a K5 issue: 

    fortress:/etc # /usr/sbin/net ads testjoin

    kerberos_kinit_password FORTRESS$@MIDDLE.EARTH failed: Cannot contact any KDC for requested realm

    ads_connect: Cannot contact any KDC for requested realm

    Join to domain is not valid: No logon servers

    fortress:/etc #

    DNS config - all DNS queries are directed to the two AD servers, and there's also a specific entry for the domain in Network Services > DNS > Request Routing. The UTM can resolve both DCs to IPs (10.14.6.11 / 10.14.6.12).

    As a side note, something a little strange in this environment is that the NetBIOS name does not correspond to the DNS name (middle.earth --> HOME).

    Now in terms of what I thought I was synchronizing - Domain Admins is defined as a group (Definitions & Users > Users & Groups > Groups): Dynamic membership:
    Users in these Active Directory groups
    CN=Domain Admins,CN=Users,DC=middle,DC=earth

    No other groups are defined with AD membership.

    Only 1 other group is referenced as far as I know, and that's Domain Users included under Definitions & Users > Authentication Services > Advanced > Prefetch Directory Users.

    HTH. One day I'll figure out my VPN access problem and be able to get the info in a more timely manner [:)]
Reply
  • 0
    OK my apologies for tardiness. Herewith the relevant part of an unsanitised but relatively boring fallback.log: 

    2013:11:27-22:07:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:12:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:17:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Started in full mode

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 2 server(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 4 adirectory group(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 1 Active Directory sid(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Found sid for CN=Domain Admins,CN=Users,DC=middle,DC=earth => S-1-5     -21-385347296-2415236108-505384329-512

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 4 adirectory group(s)

    2013:11:27-22:19:01 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Syncing 1 Active Directory sid(s)

    2013:11:27-22:19:02 fortress [daemon:notice] ad-sid-sync.pl[16709]:  [ad-sid-sync] Found sid for CN=Domain Admins,CN=Users,DC=middle,DC=earth => S-1-5     -21-385347296-2415236108-505384329-512

    2013:11:27-22:22:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:27:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:32:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  flushing old values

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  rotating journals

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  started new journal /var/log/reporting/rrd/rrd.journal.1385552150.611337

    2013:11:27-22:35:50 fortress [daemon[:D]ebug] rrdcached[3403]:  removing old journal /var/log/reporting/rrd/rrd.journal.1385544950.608813

    2013:11:27-22:37:46 fortress [daemon:notice] rrdcached[3403]:  handle_request_update: stat (/var/log/reporting/rrd/atp_named.rrd) failed.


    I have attempted to run the ad-sync script, but I note that the UTM has stored the password for the user account used to join the domain (AD SSO). That password has since changed (and I would suggest there's no mention of using a particular account to join the domain - most Samba systems maintain their own secure channel do they not?) - should I post that one as a separate bug/thread?

    In any case, updating the SSO password leaves me in the same position as jz. NET ADS TESTJOIN may also suggest a K5 issue: 

    fortress:/etc # /usr/sbin/net ads testjoin

    kerberos_kinit_password FORTRESS$@MIDDLE.EARTH failed: Cannot contact any KDC for requested realm

    ads_connect: Cannot contact any KDC for requested realm

    Join to domain is not valid: No logon servers

    fortress:/etc #

    DNS config - all DNS queries are directed to the two AD servers, and there's also a specific entry for the domain in Network Services > DNS > Request Routing. The UTM can resolve both DCs to IPs (10.14.6.11 / 10.14.6.12).

    As a side note, something a little strange in this environment is that the NetBIOS name does not correspond to the DNS name (middle.earth --> HOME).

    Now in terms of what I thought I was synchronizing - Domain Admins is defined as a group (Definitions & Users > Users & Groups > Groups): Dynamic membership:
    Users in these Active Directory groups
    CN=Domain Admins,CN=Users,DC=middle,DC=earth

    No other groups are defined with AD membership.

    Only 1 other group is referenced as far as I know, and that's Domain Users included under Definitions & Users > Authentication Services > Advanced > Prefetch Directory Users.

    HTH. One day I'll figure out my VPN access problem and be able to get the info in a more timely manner [:)]
Children
No Data
Unfiltered HTML