对集群模式Data ONTAP中NFS客户端的访问被拒绝或挂载挂起问题进行故障排除

适用场景

ONTAP 9

问题描述

本指南旨在提供一组故障排除过程、以帮助确定NFS挂载挂起或访问被拒绝响应的发生原因。 

建议将所有命令行输入和生成的控制台输出记录在一个文本文件中、以供日后查看。在技术支持案例中提供此信息可能会显著缩短解决问题的时间。

在本指南中、我们会使用具有诊断和高级权限级别的命令。在运行这些命令时、请务必谨慎操作、因为输入错误可能会产生意外后果。

访问被拒绝或挂起的常见原因

NFS挂载因访问被拒绝而失败、或者持续重试并显示为挂起、有多种原因。以下列表介绍了观察到的最常见原因。下一节将提供故障排除策略、帮助您快速识别和修复问题描述的发生原因。

操作步骤

确认NFS已启用

Cluster1::> vserver nfs show

 

Virtual  General Server   Access  v3     v4.0    v4.1    UDP    TCP -------- ------- -------- -------- -------- -------- -------- svm1   true   enabled  enabled  disabled enabled  enabled svm2   true   enabled  disabled disabled enabled  enabled

对NFS挂载访问被拒绝或挂起进行故障排除

NFS检查访问成功：

NFS check-access命令失败：

如果确定网络组查找为netgroup.byhost ，则名称不仅必须匹配，而且区分大小写。

如果确定网络组查找不会使用ByHost功能、则区分大小写；但是、最好匹配大小写。

名称服务故障排除

DNS、NIS和LDAP的名称服务故障排除步骤相同：

DNS故障排除

DNS 统计信息

可以按SVM查看DNS通信的统计信息、这些统计信息对于确定DNS查找的整体响应时间非常有用。通常、DNS平均往返时间(RTT)应与网络延迟密切匹配；但是、如果DNS服务器负载过重、或者SVM LIFs与DNS服务器之间出现数据包丢失、则可以观察到异常大的RTT。在priv advanced 模式下、运行dns info 命令以查看说明性统计信息：

cluster1::*> dns info Node: node_a           Name     Average   Minimum   Maximum    Total      Num  Host Not  Timed   Other  Format  Servfail  NotImp  Refused Vserver   Server  RTT (us)  RTT (us)  RTT (us)  RTT (s)  Queries     Found    Out  Errors  Errors    Errors  Errors   Errors --------  ------  --------  --------  --------  -------  -------  --------  -----  ------  ------  --------  ------  ------- my_svm     10.61.81.53    0         0         0        0        0         0      0       0       0         0       0        0 cluster    10.61.79.2   828       411      7646        0      880       878      0       0       0         0       0        0

 

NIS故障排除

NIS 统计信息

可以按SVM查看NIS通信的统计信息、这些统计信息对于确定NIS查找的整体响应时间非常有用。通常、NIS平均往返时间(RTT)应与网络延迟密切匹配；但是、如果NIS服务器负载过重、或者SVM LIFs与NIS服务器之间出现数据包丢失、则可以观察到异常大的RTT。在priv advanced 模式下、运行nis info 命令以查看说明性统计信息。

Cluster1::*> nis info   (nis-domain) Node: node_a         NIS     Number of    Total   Minimum   Maximum   Average    Number of  Entry Not Vserver Server YP Lookups  RTT (s)  RTT (us)  RTT (us)  RTT (us)  Retransmits      Found ------  ------ ----------  -------  --------  --------  --------  -----------  --------- my_svm  10.60.252.15    0        0         0         0         0            0          0

 

LDAP故障排除

EMS事件

事件管理器系统(Event Manager System、EMS)会记录通常指向问题源的系统事件。用户可以订阅事件并查看整个集群的事件。有关配置通知的详细信息，请参阅技术报告4303“在集群模式Data ONTAP中记录日志”。

用户可以通过运行event log show 命令来查看事件日志、也可以通过运行以下命令来查看特定事件问题描述和更正操作：
event route show –messagename <message_name> -instance

以下是最常与导出和名称服务配置问题相关的简短事件选择：

网络连接检查

SVM SVM

检查SVM所拥有的SVM的连接几乎完全基于基本网络原则、例如子网连接和路由。请务必了解LIF是否与特定目标位于同一网络中、以及它是否能够确定如何实现该目标。

network interface show—检查其所在的每个LIF节点/端口的IP 

cluster::> network interface show -vserver Svm             Logical    Status     Network            Current       Current Is Vserver     Interface  Admin/Oper Address/Mask       Node          Port    Home ----------- ---------- ---------- ------------------ ------------- ------- ---- Svm             Svm_lif1        up/up    172.18.162.6/16    node01                                                                    e0c     true             Svm_admin                          up/up    172.18.162.14/24   node02                                                                    e0d     true

 

cluster::> network route show -vserver Svm Vserver             Destination     Gateway         Metric ------------------- --------------- --------------- ------ Svm                     0.0.0.0/0       10.113.52.1     30                     0.0.0.0/0       172.18.162.1    20

 

Ping和Tractraceroute
Ping和Tractraceroute
用于测试网络连接。ping可以验证源能够到达目标，而traceroute将显示数据包必须经过哪些路由器才能到达目标。对于IPv6网络、请使用ping6或traceroute6。

对于NFS、CIFS、DNS或LDAP等协议是否成功、Ping和Tractraceroute并不是很好的指示器。它们只能确定数据包是否可以从A点传输到B点。请记住、目标和中间的所有设备都必须允许ICMP流量。否则、无论网络状态如何、任一命令都可能出现故障。

除非检查节点管理-lif 的连接，否则应始终使用以下命令运行：

Ping

Ping成功 cluster::> network ping -lif test3 -vserver Svm -destination 172.18.162.1 172.18.162.1 is alive

 

跟踪路由输出中可能会显示星号。在大多数情况下、每次查询的跟踪跟踪跟踪默认为等待5秒。如果设备在5秒内没有响应、则会显示一个星号。默认值还为每个跃点(设备) 3个查询。
对于跟踪跟踪跟踪、目标的目标是在查询该设备时使用0星号。如果每个查询在到达目标之前都变为星号、则通信将无法继续到下一个跃点。如果跟踪路由返回超时或ICMP超时、则源和目标之间的跃点太多。

防火墙

对于故障排除的这一方面、防火墙位于客户端上、或者是客户端和SVM外部的设备。netstat –an 命令可提供这些方面的简单概述。对于NFS、主要关注的是相关服务是否处于其已知端口的侦听状态。

另外、还需要注意的是、本节中的防火墙位于Data ONTAP外部。Data ONTAP自身内部有一个防火墙、用于SSH、NDMP或NTP等管理协议。在ONTAP 9.6之前的版本中、以下防火墙策略可能会应用于LUN：

在ONTAP 9.6及更高版本中，某些防火墙策略将替换为服务策略，所有此类策略将替换为9.11.1 9.11.1。有关服务策略在ONTAP防火墙中的角色的详细信息，请参见知识库文章“ 什么是防火墙策略和service-policy之间的关系”。 

Data ONTAP的防火墙不会应用于NFS等数据协议。如果数据协议显示防火墙阻止端口的症状(例如"连接被拒绝"消息)、则更重要的是确认这些数据SVM具有相同的数据协议、并且SVM具有相同的数据协议。

cluster::> network interface show –vserver Svm -fields data-protocol vserver lif                   data-protocol ------- --------------------- ------------- Svm     svm_lif1              nfs,cifs   cluster::> vserver show –vserver Svm -fields allowed-protocols vserver allowed-protocols ------- ----------------------- Svm     nfs,cifs,ndmp cluster::> vserver show –vserver Svm -fields disallowed-protocols vserver disallowed-protocols ------- -------------------- Svm     fcp,iscsi

 

如果怀疑Data ONTAP的防火墙有问题、请在EMS事件日志中检查ipfiler.ReachedMaxStates 。

cluster::> event route show -message-name ipfilter.ReachedMaxStates -instance

 

                                     Message Name: ipfilter.ReachedMaxStates                                         Severity: NOTICE                                 Corrective Action: (NONE)                                       Description: This message occurs when the ipfilter firewall fails to create a new dynamic state entry for a 'keep-state' rule because the number of dynamic state entries has reached the maximum allowed value of 4013. The 'keep-state' rule is used by the firewall to keep track of whether a connection is established. States are maintained by firewall for TCP, UDP, and ICMP packets. This message occurs at most once every 60 seconds; it lists the most recent connections to reach the limit.

服务和端口

NIS服务器会在启动期间动态选择一个有权限的端口、并向RPC-Portmaper服务注册。Data ONTAP将查询在端口111上运行的RPC-Portmaper以发现实际服务端口。

追加信息