Anmeldung mit LDAPs und 2FA hängt immer wieder, keine Anmeldung möglich, erst nach Reboot oder Cluster-Schwenk

pcpanik

Benutzer
Mitglied seit
22. Jun 2015
Beiträge
101
Punkte für Reaktionen
12
Punkte
18
Hallo zusammen,

ich versuche herauszufinden, ob andere auch schon mal darüber gestolpert sind, dass das System immer wieder in der Anmeldung von Drive hängen bleibt und dann keine Anmeldung mehr möglich ist.

Wir nutzen ein Rackstation-HA-Cluster mit Drive als Cloud-Lösung und bieten unseren Usern die Möglichkeit sich mit ihrem AD-Konto und 2. Faktor anzumelden.
Dazu wird eine LDAPs Abfrage an die DCs gemacht und anschließend der 2. Faktor abgefragt. Die DCs sind alle erreichbar, das haben wir geprüft.

Jedenfalls an genau der Stelle der Anmeldung kommen wir immer wieder nach ein paar Tagen Betrieb zum erliegen.
Das Passwort wird abgefragt, dann der 2. Faktor und dann ... passiert nichts mehr. Der türkise Kreis dreht und dreht sich, oder das Anmeldefenster wird weiß. Aber anmelden kann man sich nicht.
Es sind aber nur gerade mal 12 Geräte/User insgesamt bisher angemeldet. Und diese nicht gleichzeitig aktiv.
Die Datenmengen sind gering, mal ein BIld, mal ein PDF. Nichts was das System zum erliegen bringen könnte. Man kann das im Drive Log ja sehen, was zur fraglichen Zeit passiert.

Das Logfile für die Anmeldung wirft in dem Moment einfach nur aus:
  • Warning: failed to sign in to [DSM] via [password] due to authorization failure.
Es ist sichergestellt, dass Passwort und 2FA korrekt eingegeben wurden, das kann ausgeschlossen werden. Habe es selbst auch mehrfach nun erlebt. Es schaut mehr so aus, als würde der Anmeldeprozess zu lange dauern, sodass der 2. Faktor abgelaufen ist. Eine entsprechende Meldung wird nach langem kreiseln dann auch ausgegeben.

Gehe ich als Admin dann auf das DSM, stelle ich ebenfalls fest, dass das ganze System zäh ist! Öffnen von Fenstern dauert mehrere Sekunden.
Auslastung ist nicht gegeben, die Systeme langweilen sich. Das Ressourcen-Protokoll ist komplett unauffällig.

1732696968075.png
Auch in den Momenten, in denen alles hängt und langsam ist, ist auf dem System nix los. Keine HDD Last, keine CPU Last, kein RAM vollgelaufen.

Meine Lösung bisher: schwenk von einem Knoten auf den anderen. -> Zack. Alles ist (erst einmal) wieder gut.

Dabei ist es egal welcher Knoten in Betrieb ist. Beide sind betroffen. Es läuft eine Zeit lang, dann funktioniert die Anmeldung nicht mehr und alles schneckt.

Festplatten sind WD Gold 4TB im RAID5 + HotSpares. Ich habe zwei davon getauscht, weil diese nach einem ausführlichen SMART Test Warnungen agezeigt haben. Das war Anfangs die vermutete Ursache. Habe daraufhin nochmals ausführlich geprüft. Alles in Ordnung. Es gibt keine Auffälligkeiten in den SMART Berichten.

Selbst wenn ich die Datenbereinigung anwerfe, merkt man davon auf dem System nichts. Alles gewohn flott.

RAM Fehler möchte ich vorerst in so weit ausschließen, als dass es bisher keinerlei andere Probleme gibt. Noch nie einen Absturz eines Systems geschweige denn, dass sich ein Dienst verabschiedet hätte.
Es wird einfach nur zäh und die Anmeldung an Drive klappt nicht mehr. Diese läuft sich einfach tod.
Wenn ich dann per Systemsteduerung -> LDAP Benutzer / Gruppe abfrage, läuft es auch hier mega zäh. Allerdings ist auch schon das Öffnen der Systemsteuerung ziemlich lahm.

Gibt es hier ähnliche Phänomene? Nutzt jemand die LDAP Abfrage für Anmeldungen und ist schon mal auf so ein Problem gestoßen?
 
Zuletzt bearbeitet:

NSFH

Benutzer
Sehr erfahren
Mitglied seit
09. Nov 2016
Beiträge
4.165
Punkte für Reaktionen
611
Punkte
194
Die häufigste Ursache bei einem zähen AD sind DNS Probleme.
Aber zur Ursachenforschung wäre es am einfachsten 2FA mal zu deaktivieren um zu beobachten wie sich das System dann verhält.
Sollte etwas mit der replikation zwischen den Knoten klemmen dürfte dir nur der Support weiter helfen können, zu 100% mit der Bitte ihn auf die Geräte zu lassen.
HA ist keine triviale Sache.
 

pcpanik

Benutzer
Mitglied seit
22. Jun 2015
Beiträge
101
Punkte für Reaktionen
12
Punkte
18
Danke für Deine Antwort. 2FA mal kurz zu deaktivieren könnte ich testen, wenn es auftritt. Das System mehrere Tage ohne 2FA exponiert laufen zu lassen kann ich nicht verantworten.

Das Thema mit "auf die Geräte lassen" kenne ich. Ist immer schwierig. IdR. reicht es aber die Logs zu versenden.

Eigentlich sollte DNS kein Problem darstellen, aber ja, natürlich sind da noch Firewalls zwischen, deren Monitoring bisher aber noch nichts zeigte. Bisher kein incomplete oder drop auf 636 oder 53 zu sehen.

Allerdings könnte ich den HA Knoten auflösen und das System allein laufen lassen, das wäre ein Option, die ich bereit wäre zu testen.
 

NSFH

Benutzer
Sehr erfahren
Mitglied seit
09. Nov 2016
Beiträge
4.165
Punkte für Reaktionen
611
Punkte
194
Hast du die Clients mit der Uhr des Servers synchronisiert?
 

maxblank

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
25. Nov 2022
Beiträge
5.092
Punkte für Reaktionen
2.907
Punkte
309
Hast du mal geprüft, ob in DSM, wenn diese Fälle auftreten, eventuell Benutzer und / oder IPs geblockt werden…

Welche 2FA-Methode kommt zum Einsatz?

Bitte trotzdem die SMART-Werte auslesen und hier posten, keinen Test machen.
https://www.synology-forum.de/threads/smart-werte-auslesen-und-interpretieren.131057/

Die Netzwerk-Verbindung im Cluster, die für den Heartbeat zuständig ist, funktioniert ebenfalls ohne Unterbrechung und ohne Verzögerung? Falls ja, wie wurde das geprüft?
 
Zuletzt bearbeitet:

pcpanik

Benutzer
Mitglied seit
22. Jun 2015
Beiträge
101
Punkte für Reaktionen
12
Punkte
18
Danke für eure Antworten und entschuldigung für meine verzögerte Reaktion. Es war sehr viel los. :-(
Ich habe das Problem eingrenzen und lösen können.
Es war der alternative DNS Server. Dieser hat die DCs nicht erreichen können.
Ich habe den Eintrag entfernt und seit dem klappt es.
 


 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat