Anmeldung mit LDAPs und 2FA hängt immer wieder, keine Anmeldung möglich, erst nach Reboot oder Cluster-Schwenk

pcpanik

Benutzer
Mitglied seit
22. Jun 2015
Beiträge
98
Punkte für Reaktionen
12
Punkte
8
Hallo zusammen,

ich versuche herauszufinden, ob andere auch schon mal darüber gestolpert sind, dass das System immer wieder in der Anmeldung von Drive hängen bleibt und dann keine Anmeldung mehr möglich ist.

Wir nutzen ein Rackstation-HA-Cluster mit Drive als Cloud-Lösung und bieten unseren Usern die Möglichkeit sich mit ihrem AD-Konto und 2. Faktor anzumelden.
Dazu wird eine LDAPs Abfrage an die DCs gemacht und anschließend der 2. Faktor abgefragt. Die DCs sind alle erreichbar, das haben wir geprüft.

Jedenfalls an genau der Stelle der Anmeldung kommen wir immer wieder nach ein paar Tagen Betrieb zum erliegen.
Das Passwort wird abgefragt, dann der 2. Faktor und dann ... passiert nichts mehr. Der türkise Kreis dreht und dreht sich, oder das Anmeldefenster wird weiß. Aber anmelden kann man sich nicht.
Es sind aber nur gerade mal 12 Geräte/User insgesamt bisher angemeldet. Und diese nicht gleichzeitig aktiv.
Die Datenmengen sind gering, mal ein BIld, mal ein PDF. Nichts was das System zum erliegen bringen könnte. Man kann das im Drive Log ja sehen, was zur fraglichen Zeit passiert.

Das Logfile für die Anmeldung wirft in dem Moment einfach nur aus:
  • Warning: failed to sign in to [DSM] via [password] due to authorization failure.
Es ist sichergestellt, dass Passwort und 2FA korrekt eingegeben wurden, das kann ausgeschlossen werden. Habe es selbst auch mehrfach nun erlebt. Es schaut mehr so aus, als würde der Anmeldeprozess zu lange dauern, sodass der 2. Faktor abgelaufen ist. Eine entsprechende Meldung wird nach langem kreiseln dann auch ausgegeben.

Gehe ich als Admin dann auf das DSM, stelle ich ebenfalls fest, dass das ganze System zäh ist! Öffnen von Fenstern dauert mehrere Sekunden.
Auslastung ist nicht gegeben, die Systeme langweilen sich. Das Ressourcen-Protokoll ist komplett unauffällig.

1732696968075.png
Auch in den Momenten, in denen alles hängt und langsam ist, ist auf dem System nix los. Keine HDD Last, keine CPU Last, kein RAM vollgelaufen.

Meine Lösung bisher: schwenk von einem Knoten auf den anderen. -> Zack. Alles ist (erst einmal) wieder gut.

Dabei ist es egal welcher Knoten in Betrieb ist. Beide sind betroffen. Es läuft eine Zeit lang, dann funktioniert die Anmeldung nicht mehr und alles schneckt.

Festplatten sind WD Gold 4TB im RAID5 + HotSpares. Ich habe zwei davon getauscht, weil diese nach einem ausführlichen SMART Test Warnungen agezeigt haben. Das war Anfangs die vermutete Ursache. Habe daraufhin nochmals ausführlich geprüft. Alles in Ordnung. Es gibt keine Auffälligkeiten in den SMART Berichten.

Selbst wenn ich die Datenbereinigung anwerfe, merkt man davon auf dem System nichts. Alles gewohn flott.

RAM Fehler möchte ich vorerst in so weit ausschließen, als dass es bisher keinerlei andere Probleme gibt. Noch nie einen Absturz eines Systems geschweige denn, dass sich ein Dienst verabschiedet hätte.
Es wird einfach nur zäh und die Anmeldung an Drive klappt nicht mehr. Diese läuft sich einfach tod.
Wenn ich dann per Systemsteduerung -> LDAP Benutzer / Gruppe abfrage, läuft es auch hier mega zäh. Allerdings ist auch schon das Öffnen der Systemsteuerung ziemlich lahm.

Gibt es hier ähnliche Phänomene? Nutzt jemand die LDAP Abfrage für Anmeldungen und ist schon mal auf so ein Problem gestoßen?
 
Zuletzt bearbeitet:

NSFH

Benutzer
Sehr erfahren
Mitglied seit
09. Nov 2016
Beiträge
4.098
Punkte für Reaktionen
577
Punkte
194
Die häufigste Ursache bei einem zähen AD sind DNS Probleme.
Aber zur Ursachenforschung wäre es am einfachsten 2FA mal zu deaktivieren um zu beobachten wie sich das System dann verhält.
Sollte etwas mit der replikation zwischen den Knoten klemmen dürfte dir nur der Support weiter helfen können, zu 100% mit der Bitte ihn auf die Geräte zu lassen.
HA ist keine triviale Sache.
 


 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat