Миграция с NW6.5 на OES11

[Sergant]

Вот и пришло время для замены верой и правдой прослужившего 14 лет HP NetServer LH3000, работающего под NW6.5SP8,
на другой сервер, но уже под идеологически правильной OES11SP2. Пикантость ситуации только в том, что на этом сервере
находится мастер-реплика, подняты SLP DA и Organization CA. Хочется составить оптимальный алгоритм действий для этого события.
Насколько я понял из документации, Transfer ID полностью для этой цели не подходит, поэтому пока видится такой алгоритм:

1. Устанавливаю новый сервер в дерево. Т.к. в дереве уже есть серверы под OES2SP3, то никакого расширения схемы проводить уже
не нужно. Добавляю на нем реплику и назначаю ей статус "мастер".
2. Перенос SLP DA. Тут видятся два пути. Первый (радикальный) - это останов slpda на NW, очистка дерева от следов старого SLP DA
и конфигурирование SLP на новом сервере с последующим изменением net.slp.DAAddresses на других серверах в дереве.
Второй (эволюционный): настраиваю на новом сервере новый DA для нового SLPSCOPE, на других серверах прописываю этот
SLPSCOPE в дополнение к имеющимуся. В обоих случаях, меняю передающиеся через dhcp клиентам, SLPSCOPE и адрес DA сервера.
3.Перенос Organization CA. С одной стороны, есть подробный TID по переносу корневого сертификата:

http://www.novell.com/support/kb/doc.php?id=3618399

С другой же стороны, смущает то, что не смотря на то, что последняя дата модификации - июнь 2014 г., в этом документе не указан
OES11SP2 как поддерживаемая платформа, а указан OES2SP3.


Поделитесь опытом, кто проделывал подобное ?

[Ковалев Артем]

1. Ставите сервер в дерево, назначаете ему реплику RW, курите не менее 3-х рабочих дней, если ничего не покосело, назначаете ему реплику master (старый master становится rw), курите еще 3 дня. А то мало ли что
2. Насколько я понял, Novell от slp ушел. Мы просто в настройках клиента поставили DNS впереди NDS и выключили slp. Никто не умер. Правда, у нас включена бесконтекстная ldap регистрация.
3. Насколько я опять же в курсе, нонче корневой сертификат не моден. Я год без него прожил, пока случайно не обнаружил, что сервер, на котором он был, уже год как отвезен на свалку. Судорожное чтение сайта novell и форумов подтвердило, что сейчас (на oes) Org CA можно создавать и пересоздавать в любой момент и никто не умирает.

[Sergant]

1. Ставите сервер в дерево, назначаете ему реплику RW, курите не менее 3-х рабочих дней, если ничего не покосело, назначаете ему реплику master (старый master становится rw), курите еще 3 дня. А то мало ли что
2. Насколько я понял, Novell от slp ушел. Мы просто в настройках клиента поставили DNS впереди NDS и выключили slp. Никто не умер. Правда, у нас включена бесконтекстная ldap регистрация.
3. Насколько я опять же в курсе, нонче корневой сертификат не моден. Я год без него прожил, пока случайно не обнаружил, что сервер, на котором он был, уже год как отвезен на свалку. Судорожное чтение сайта novell и форумов подтвердило, что сейчас (на oes) Org CA можно создавать и пересоздавать в любой момент и никто не умирает.

Артем, спасибо ! В общем, впереди у меня полный простор для творчества

[Михаил Цветаев]

1. Ставите сервер в дерево, назначаете ему реплику RW, курите не менее 3-х рабочих дней, если ничего не покосело, назначаете ему реплику master (старый master становится rw), курите еще 3 дня. А то мало ли что
2. Насколько я понял, Novell от slp ушел. Мы просто в настройках клиента поставили DNS впереди NDS и выключили slp. Никто не умер. Правда, у нас включена бесконтекстная ldap регистрация.
3. Насколько я опять же в курсе, нонче корневой сертификат не моден. Я год без него прожил, пока случайно не обнаружил, что сервер, на котором он был, уже год как отвезен на свалку. Судорожное чтение сайта novell и форумов подтвердило, что сейчас (на oes) Org CA можно создавать и пересоздавать в любой момент и никто не умирает.

SLP - больной вопрос. Не понял что значит Novell ушел от этой технологий обнаружения сервисов или серверов.
Прочитал Ваш пост, поставил как написано в посте DNS - и не смог зарегистрироваться.

Если можно по точнее это как у Вас происходит.

[Ковалев Артем]

Из мануала https://www.novell.com/documentation/oe ... a/slp.html

DAs are not needed when all of the SAs and UAs are on the same subnet. This is because the UAs and SAs can find each other within the subnet using multicast packets, provided that there are no firewalls that are set to block multicast traffic.

У нас именно этот случай, одна подсеть для серверов и юзеров. DA в сети сейчас просто не запущено.

[caxap]

Вот и пришло время для замены верой и правдой прослужившего 14 лет HP NetServer LH3000, работающего под NW6.5SP8,
.......

Насколько родственные души. LН3000 ушёл из жизни пару лет назад. А пара LН4 - ещё живы и в строю. Боюсь дыщать в их сторону.
Вопрос по переходу на OES стоит в полный рост - тестирую. Не всё удачно. Можно сказать много не понимаю и следовательно не выходит.

Тестирую на OES11sp3 - Вы же настроены на OES11sp2 - в чём такой выбор. Может я просто зря ломаюсь с запуском OES11sp3.

[Ковалев Артем]

И я вру. На одном из OES у нас-таки работает SLP DA
Виноват.

Но я начисто не помню, как и когда его переносили с NW. Так что процесс, видимо, несложный.

[Sergant]

Тестирую на OES11sp3 - Вы же настроены на OES11sp2 - в чём такой выбор. Может я просто зря ломаюсь с запуском OES11sp3.

На сайте Novell-а дистрибутив только OES11SP2, плюс фиксы максимум для этой же версии. Вы случаем тестируете не OES2SP3 ?

[Иван Левшин aka Ivan L.]

1. SLP - совсем не "больной вопрос". Никуда Novell не ушел, просто заменили Netware SLP на Open SLP. Мигрировать SLP нет никакого смысла, там все равно все - "короткоживущее", насколько я помню, сервера раз в полчаса по дефолту о себе сообщают. Так что можно просто погасить SLP DA на нетвари и поднять SLP DA на OES11. Естественно, перед этим надо все переконфигурировать - ну и чтобы все прошло совсем и вообще незаметно, то правильнее сначала добавить в DHCP Options новый SLP DA (полагаю, что Scope не меняется), подождать несколько рабочих дней, чтобы убедиться в том, что все клиенты все получили, потом уже выключать SLP DA на нетвари.
2. Перенос CA - TID старый, писался под OES2, там, видимо, просто забыли добавить OES11 в поддерживаемые. С точки зрения логики и архитектуры OES2 и OES11 идентичны, так что можно делать по нему.
3. По поводу регистрации клиента в сети - если поснифать трафик NCP при регистрации и поиске ресурсов, то будет заметно, что сначала клиент все же пытается хоть чучелом, хоть тушкой, но найти SLP DA. Уже только потом, если у него ничего не получилось, он ищет в DNS. При работе "без SLP, но с DNS" важно помнить, что клиент должен легко находить запись типа А с именем дерева и адресом, указывающим на R/W-реплику как минимум (лучше на мастера).

Формально "без SLP, но с DNS" - неправильно вообще, если в сети есть машины с Novell Client, SLP должен быть настроен. DNS - костыль, который работает, на самом деле, хуже. Не вижу логики не настраивать SLP вообще - всех настроек максимум на полчаса (включая конфигурацию DHCP), избавляет от огромного количества головной боли. Настраивается OpenSLP, к слову, проще, чем Netware SLP. Как настраивать - написано в документации, я писал на форуме и легко гуглится. Если нужно - могу описать еще раз. Ну т.е. просто отменить в свойствах клиента поиск в SLP - не получится, надо DNS подкручивать.
Вообще DNS в данном случае - "спасательный круг" на случай, если SLP DA сдохли все и недоступны. Это не штатное решение проблемы обнаружения сервисов в сети.

Один широковещательный сегмент Ethernet и на сервера, и на пользователей - это сильно Как, интересно, в более-менее больших сетях при этом выживают в случае широковещательного шторма, ума не приложу. О том, что всякие изыски типа VLAN противопоказаны в этом случае - думаю, тоже говорить не стоит.

Вообще миграция там предельно проста - если что-то где-то пошло не так, надо просто собраться и внимательнее проверить последовательность действий. Ну и, естественно, сначала надо все же почитать инструкцию

P.S. Дистрибутив OES11SP3 действительно недоступен Видимо, коллега путает либо OES2SP3, либо SP3 у OES11 появился только потому, что OES11SP2 идет на базе SLES11SP3.

[Михаил Цветаев]

1. SLP - совсем не "больной вопрос". Никуда Novell не ушел, просто заменили Netware SLP на Open SLP. Мигрировать SLP нет никакого смысла, там все равно все - "короткоживущее", насколько я помню, сервера раз в полчаса по дефолту о себе сообщают. Так что можно просто погасить SLP DA на нетвари и поднять SLP DA на OES11. Естественно, перед этим надо все переконфигурировать - ну и чтобы все прошло совсем и вообще незаметно, то правильнее сначала добавить в DHCP Options новый SLP DA (полагаю, что Scope не меняется), подождать несколько рабочих дней, чтобы убедиться в том, что все клиенты все получили, потом уже выключать SLP DA на нетвари.
2. Перенос CA - TID старый, писался под OES2, там, видимо, просто забыли добавить OES11 в поддерживаемые. С точки зрения логики и архитектуры OES2 и OES11 идентичны, так что можно делать по нему.
3. По поводу регистрации клиента в сети - если поснифать трафик NCP при регистрации и поиске ресурсов, то будет заметно, что сначала клиент все же пытается хоть чучелом, хоть тушкой, но найти SLP DA. Уже только потом, если у него ничего не получилось, он ищет в DNS. При работе "без SLP, но с DNS" важно помнить, что клиент должен легко находить запись типа А с именем дерева и адресом, указывающим на R/W-реплику как минимум (лучше на мастера).

Веду непрерывную борьбу с SLP, точнее с регистрацией пользователей.
За основу взял несколько документов
http://support.novell.com/docs/Tids/Sol ... 27163.html

Код: Выделить всё

SET SLP TCP = OFF
Valid Values: ON, OFF
This parameter determines whether the TCP protocol is preferred for SLP communication over UDP.  Novell recommends that this setting be set to off.  Off is the default setting.

http://www.ncsu.edu/ndstech/docs/slp/sl ... onfig.html
https://www.novell.com/coolsolutions/feature/18006.html
https://www.netiq.com/documentation/edi ... sbdp5.html

В разных документах разное описание на каком протоколе работает SLP.
Если брать личный опыт, то я вижу что клиент пробует идти по UDP и когда устанавливаешь на сервере SET SLP TCP = OFF, то нормальна я информация отображается на клиенте при отработке slpinfo

Код: Выделить всё

DA IP Address     Source(s)   State   Version  Local Interface   Scope(s)
---------------   ---------   -----   -------  ---------------   ---------------
172.16.0.2        CNFG,DHCP   UP      SLPV2    172.16.0.122     DEFAULT
172.16.0.14       CNFG,DHCP   UP      SLPV2    172.16.0.122     DEFAULT
172.16.101.16     DHCP        UP      SLPV2    172.16.0.122     DEFAULT


Если ставишь
SET SLP TCP = ON

Код: Выделить всё

DA IP Address     Source(s)   State   Version  Local Interface   Scope(s)
---------------   ---------   -----   -------  ---------------   ---------------
172.16.0.2        CNFG,DHCP   UP      SLPV1    172.16.0.122     DEFAULT
172.16.0.14       CNFG,DHCP   NORSP   ?        172.16.0.122     <unknown>
172.16.101.16     DHCP        UP      SLPV2    172.16.0.122     DEFAULT


Но .... но если на сервере SET SLP TCP = OFF - регистрация происходит 50 на 50. Точнее регистрация проходит, но пишет что такой-то серевер недоступен. И лечиться ТОЛЬКО перезагрузкой компьютера. Т.е. повторная регистрация не отрабатывает, только перезагруз.
В дебаге SLP на сервере видно что конкретная рабочая станция произвела запрос к агенту SLP.
Читаешь документацию и не знаешь чему верить.
В сети сейчас несколько серверов с DA SLP, каждый смотрит друг на друга. На всех остальных серверах запущен SLP, где в slp.cfg информация о SLPDA серверах.
Вроде всё по науке, а работает хреново.
Пробовал запустить SLP DA на OES11, т.е. именно этот сервер прописать в DHCP для клиентов - та же засада. Так на нём и нет опции чтоб заставить работать по TCP.
Если клиент не в зоне бродкаста, т.е. нет рядом сервера NetWare(OES) - засада.
В малых офисах, где стояли раньше сервера NetWare, идет смена власти, точнее серверов больше нет, только рабочие станции и принтер. И вот там основная засада с регистрацией.
Наверно я чего-то не замечаю, или не понимаю. Может истина где-то рядом, но я пока этой истиной не владею.

Уже начинаю рассматривать, чтоб делать пробросы бродкастов от клиентов через роутеры. Моразм, но если кто-то скажет ИСТИНУ, буду обязан.

[Иван Левшин aka Ivan L.]

Михаил, все, на самом деле, очень просто. SLP - предельно простой протокол.

1. По умолчанию он работает, используя UDP. Как Вам, безусловно, известно, UDP отличается намного меньшими "косвенными расходами" на обработку - учитывая, что SLP изначально спроектирован для работы в LAN, ему вся мощь TCP со всеми этими подтверждениями приема, управлением окном передачи и прочим просто не нужны.
2. 3 SLP DA на сеть - очень много, столько просто не нужно. В тех же документах написано, что 2 SLP DA - разумное и достаточное количество для сети на 10000 устройств (с несколькими сотнями серверов), увеличение SLP DA ведет ровно к бардаку. 2 SLP DA нужны для отказоуйстойчивости, на самом деле и 1 SLP DA ровно в той же сети прекрасно справляется
4. Совсем не понимаю, при чем тут широковещание. UDP прекрасно маршрутизируется.
5. В Ваших примерах с выводом slpinfo /a видна, например, типичная ошибка - имя Scope: "DEFAULT", в документации описано, что для SLP v2 обязательно нужно менять Scope на имя, отличное от DEFAULT.

Попробуйте настроить SLP в соответствии с рекомендациями производителя:

1. Не более 2 SLP DA на сеть
2. Имя Scope, отличное от DEFAULT
3. Очень частая ошибка, которую совершают по незнанию - на SLP DA в SYS:\ETC\SLP.CFG (для нетвари) или в slp.conf (для линукса) прописывают SLP DA на нем же самом. Так делать нельзя! Если сервер является DA, адрес DA в его конфиге прописывается только для второго DA, нельзя писать адрес этого же сервера! В этом случае SLP просто не работает либо работает примерно описываемым Вами способом!
4. Настройки клиентов - либо через свойства Novell Client (муторно и долго, но можно тоньше настроить), либо через DHCP (быстро и гарантированно работает). На клиентах (и сервера, не забывайте, так же являются SLP UA) обязательно указываются SLP DA и SLP Scope.

SLP TCP=ON тут вообще не при чем, Вы неверно понимаете задачу изначально.

[Константин Ошмян]

Присоединяюсь к мнению Ивана Левшина практически по всем пунктам.
Разве что насчёт имени Scope-а "DEFAULT" не согласен - по-моему, Иван путает это с рекомендацией не использовать имя "NO_SCOPED".

Мы сами какое-то время назад успешно мигрировали кластер с NetWare 6.5 sp8 на OES11sp1 (ссылка), потом обновлялись на OES11sp2 (ссылка).
К мыслям про миграцию SPL DA могу добавить лишь следующее: в текущей OES11-реализации можно демону SLP DA сказать, откуда "засосать" текущий список регистраций при старте демона. Сделав там ссылку на прежний (NetWare) сервер SLP DA, не теряется вообще практически ничего.

Т.е. последовательность переноса SLP DA получается такой:
1) поднимаем новый SLP DA на OES11, ссылаемся там на прежний SLP DA, рестартуем демон для перечитывания конфига и забирания списка текущих регистраций;
2) перенастраиваем ссылки SLP DA на клиентах: во-первых, для Novell Client (либо в их свойствах, либо по DHCP), во-вторых - на других серверах NetWare и OES (чтобы они последующие регистрации выполняли бы уже на новом SLP DA);
3) низводим прежние SLP DA от выполнения этой роли, а в новом SLP DA (OES11) убираем ссылку на прежний SLP DA (NetWare).

Миграцию CA - да, делали по старому TID-у (вполне успешно).

[Иван Левшин aka Ivan L.]

Привет, Костя

Я точно ничего не путаю Номер TID не скажу, конечно, но в том, что там было прописано "не используйте DEFAULT" и это именно рекомендация - уверен на 100%. Вероятно, я был не до конца точен - надо читать не "обязательно", а "настоятельно рекомендуется". Так - точнее и правильнее.

SLP просто настраивал столько раз, что уже могу с закрытыми глазами и на время это делать. При соблюдении описанных правил - все 100% работает. Многократно проверено.

[Михаил Цветаев]

Привет, Костя

Я точно ничего не путаю Номер TID не скажу, конечно, но в том, что там было прописано "не используйте DEFAULT" и это именно рекомендация - уверен на 100%. Вероятно, я был не до конца точен - надо читать не "обязательно", а "настоятельно рекомендуется". Так - точнее и правильнее.

SLP просто настраивал столько раз, что уже могу с закрытыми глазами и на время это делать. При соблюдении описанных правил - все 100% работает. Многократно проверено.

Я так надеялся, всё просто - новый SCOPE, и могу расслабиться.

1. Имею 3 SLP DA. 2 на NetWare и один на OES11. Завтра один пойдёт в аут. Пока не решил какой
2. Во всех slp.cfg по две записи, т.е. адреса "соседних" DA. Последний появился после нового года. Вроде здесь не облажался.
3. На всех NetWare запущен только SLP и в slp.cfg было прописано по две записи с адресами серверов с SLP DA. То же, все правильно.
4. Настроено в DHCP и 78 и 79 опция. Работает. При запуске детального дебага в SLP - хорошо видно кто, как и что запрашивает и получает. Видел ТИД где предлагалось с батника и regedit вписывать адреса агентов и scope как статику для нахождения сервисов клиентом Новелл. Муторно, работает, но ни чем не отличается от автомата с DHCP. Не стал делать, есть на паре машин со статикой.

Повторюсь, вроде всё по науке.
А теперь изюминка
- клиент\сотрудник регистрируется в сети
- регистрация проходит. Пароль приняли идёт скрипт.
- мапируются диски и на этом этапе облом.
Сотрудники в зависимости от служебный обязанностей должны иметь доступ к 3 серверам - домашние каталоги, софт и аналитика.
И по неизвестной мне причине, которая является большой занозой в моей попе, к какому-то из серверов не хотим присоединяться. И сервер может быть произвольный из этого списка.
Если ручками запускать map - получаем ошибку 8884 или 8885.
При этом при желании можно подсоединяться к какому-то другому сервер из списка установленных в компании.
Громко крякаем, материмся, идём и курим дежурную сигарету. Приходим пробуем ещё раз и ..... и всё работает, т.е. можем подключить нужный диск/том.

Конечно вопрос к себе хорошему - и что это?
И вся бодяга на 99% у тех кто живет без сервера рядом, т.е. у людей которые работаю в подсетке, где нет сервера NetWare|OES.
И таких становиться всё больше, а следовательно и проблема всё острее.
И на данный момент уже не то что глазки в кучку, но и мысли в раскоряку.
Что только не пробовал. Я не одинок на форуме Novell.com есть посты но относятся к десятилетней давности и почему-то все делают упор на странную опцию в клиенте "Bad Server Name Cache". Пробовал экспериментировать - не катит.
Если есть решение, кто-то сталкивался - СЛУШАЮ во все уши. Мне не понятно по какой причине, я имея админовские права могу на какой-то сервер в конторе зайти с лагом в 5 минут пока травил организ никотином.

Кажется можно иметь два и более SCOPE - попробую сделать, надеюсь хуже не будет. Чтоб не ломать окончательно - будем делать параллельно.

[Иван Левшин aka Ivan L.]

Михаил,

Как я уже неоднократно повторял: "работа админа начинается с анализа". Покажите:
1. Вывод slpinfo /a
2. Скриншот из slpsnoop (в графическом виде показывает, что видно через SLP в принципе. Эта версия только для XP, для семерки/линухов не могу вспомнить, где лежит)
3. Вывод slptool c серверов (подробнее можно прочитать здесь)

Выполнять надо на проблемных машинах. Особое внимание - сервисам Bindery и NDAP. Первый - все NCP-сервера должны быть здесь перечислены (влияет на логин и монтирование томов), второй - сервера с репликами публикуют данные о репликах и дереве (собственно, доступность дерева).

В двух словах - если проблема связана с регистрацией сервиса в SLP, понять это можно из вывода slptool. Если сервис в SLP регистрируется нормально - значит, SLP UA нормально не работает, почему - надо разбираться.

И вообще - нелишне почитать документацию по SLP