章：MAPI AOのトラブルシューティング

この記事では、MAPI AOのトラブルシューティング方法について説明します。

ガイドの内容

主要記事

WAASのアーキテクチャとトラフィックフローについて

WAASの事前トラブルシューティング

最適化のトラブルシューティング

アプリケーションアクセラレーションのトラブルシューティング

CIFS AOのトラブルシューティング

HTTP AOのトラブルシューティング

EPM AOのトラブルシューティング

MAPI AOのトラブルシューティング

NFS AOのトラブルシューティング

SSL AOのトラブルシューティング

ビデオAOのトラブルシューティング

汎用AOのトラブルシューティング

過負荷状態のトラブルシューティング

WCCPのトラブルシューティング

AppNavのトラブルシューティング

ディスクおよびハードウェアの問題のトラブルシューティング

シリアルインラインクラスタのトラブルシューティング

vWAASのトラブルシューティング

WAAS Expressのトラブルシューティング

NAM統合のトラブルシューティング

内容

- 1 MAPIアクセラレータ

- 0 暗号化されたMAPIアクセラレーション

- 2.1 要約

- 2.2 機能情報

- 2.3 トラブルシューティング手法

- 2.3.1 手順1：暗号化サービスIDの設定とキーの取得が成功したことを確認します

- 2.3.2 ステップ2:5.0.3で、必要な設定の一部を確認するための新しい診断コマンドが導入されました。

- 2.3.3 手順3：上記の診断コマンドでチェックされていないWAE設定を手動で確認します。

- 2.4 データ分析

- 2.5 一般的な問題

- 2.5.1 問題 1：コアWAEに設定されている暗号化サービスIDに、ADで正しい権限がありません。

- 2.5.2 解決策1:設定ガイドを参照し、ADのオブジェクトに正しい権限があることを確認します。「ディレクトリ変更のレプリケート」と「ディレクトリ変更のレプリケートすべて」の両方を許可するように設定する必要があります。

- 2.5.3 問題 2：Core WAEとKDCの間には、キーの取得を試みる時間の誤差があります

- 2.5.4 解決策2:すべてのWAE（特にコア）でntpdateを使用して、クロックをKDCと同期します。次に、エンタープライズNTPサーバをポイントします（KDCと同じ場合もあります）。

- 2.5.5 問題 3：暗号化サービスに定義したドメインが、Exchangeサーバーのドメインと一致しません。

- 2.5.6 解決策3:コアWAEが異なるドメインの複数のExchangeサーバにサービスを提供する場合は、Exchangeサーバが存在するドメインごとに暗号化サービスIDを設定する必要があります。

- 2.5.7 問題 4：WANecureが失敗すると、接続がTGにドロップする可能性があります

- 2.5.8 解決策4:ピア証明書の検証設定を両方のWAEから削除し、コアWAEで暗号化サービスを再起動します。

- 2.5.9 問題 5：OutlookクライアントでNTLMが使用されている場合、接続は汎用AOにプッシュされます。

- 2.5.10 解決策5:お客様は、Exchange環境でKerberos認証を有効または必要とする必要があります。NTLMはサポートされていません（5.1以降）

- 3 MAPI AOロギング

MAPIアクセラレータ

MAPIアクセラレータは、Microsoft Outlook Exchange電子メールトラフィックを最適化します。ExchangeはEMSMDBプロトコルを使用します。これはMS-RPC上で階層化されており、低レベルのトランスポートとしてTCPまたはHTTP（サポートされていない）のいずれかを使用します。

MAPI AOは、キャッシュモードと非キャッシュモードの両方のトラフィックに対して、Microsoft Outlook 2000 ～ 2007クライアントをサポートします。メッセージ認証（署名）または暗号化を使用するセキュアな接続は、MAPI AOによって高速化されません。古いクライアントからこのような接続と接続は、TFO最適化のために汎用AOに引き渡されます。また、Outlook Web Access(OWA)およびExchange-Exchange接続はサポートされていません。

注：Microsoft Outlook 2007では、暗号化がデフォルトで有効になっています。MAPIアプリケーションアクセラレータを利用するには、暗号化を無効にする必要があります。Outlookで、[ツール] > [電子メールアカウント]を選択し、[既存の電子メールアカウントの表示または変更]を選択し、[次へ]をクリックします。Exchangeアカウントを選択し、[変更]をクリックします。[その他の設定]をクリックし、[セキュリティ]タブをクリックします。図1に示すように、[Encrypt data between Microsoft Office Outlook and Microsoft Exchange Server]チェックボックスをオフにします。

または、グループポリシーを使用して、Exchange Serverのすべてのユーザーの暗号化を無効にすることもできます。

図1. Outlook 2007で暗号化を無効にする

次の場合、MAPI AOは接続を処理しません。

- 暗号化された接続（汎用AOに渡される）

- サポートされていないクライアント（汎用AOに渡される）

- 修復不可能な解析エラーです。クライアントとサーバサービス間のすべてのTCP接続が切断されます。クライアントが再接続すると、すべての接続が汎用AOに渡されます。

- クライアントは、WAEが過負荷になると、接続に新しい関連付けグループを確立しようとします。

- クライアントは、WAEが過負荷になり、MAPI予約の接続リソースが使用できない場合に接続を確立します。

Outlookクライアントとサーバは、アソシエーショングループと呼ばれるTCP接続のグループを介してセッションで対話します。関連付けグループ内では、オブジェクトへのアクセスが任意の接続にまたがることができ、必要に応じて動的に接続が作成および解放されます。クライアントは、異なるサーバまたは同じサーバに対して同時に複数のアソシエーショングループを開くことができます。（パブリックフォルダは、メールストアとは異なるサーバに展開されます）。

関連付けグループ内のすべてのMAPI接続は、ブランチとデータセンターの同じWAEペアを通過することが不可欠です。アソシエーショングループ内の一部の接続がこれらのWAE上でMAPI AOを通過しない場合、MAPI AOはこれらの接続で実行されたトランザクションを認識せず、接続はアソシエーショングループを「エスケープ」すると言われます。このため、ハイアベイラビリティグループを形成するシリアルでクラスタ化されたインラインWAEには、MAPI AOを導入しないでください。

WAEアソシエーショングループをエスケープするMAPI接続の症状は、重複メッセージやOutlookの応答停止などのOutlookエラーの症状です。

TFO過負荷状態の間、既存の関連付けグループの新しい接続が通過し、MAPI AOからエスケープされるため、MAPI AOは過負荷状態の影響を最小限に抑えるために多数の接続リソースを事前に予約します。予約済みMAPI接続とそのデバイス過負荷への影響の詳細については、「過負荷状態のトラブルシューティング」の「MAPIアプリケーションアクセラレータによる過負荷時の予約接続への影響」の項を参照してください。

Troubleshooting Application Accelerationの記事で説明されているように、show acceleratorコマンドとshow licenseコマンドで、一般的なAOの設定とステータスを確認します。MAPIアクセラレータの操作にはEnterpriseライセンスが必要で、EPMアプリケーション・アクセラレータを有効にする必要があります。

次に、図2に示すように、show accelerator mapiコマンドを使用して、MAPI AOに固有のステータスを確認します。MAPI AOが[有効]、[実行中]、および[登録済み]であり、接続制限が表示されることを確認します。Config StateがEnabledで、Operational StateがShutdownの場合は、ライセンスの問題を示しています。

図2. MAPIアクセラレータのステータスの確認

show statistics accelerator epmコマンドを使用して、EPM AOが機能していることを確認します。クライアントの起動時に、Total Handled Connections、Total Requests Successfully Parsed、およびTotal Responses Successfully Parsedカウンタが増加していることを確認します。

show running-configコマンドを使用して、MAPIおよびEPMトラフィックポリシーが正しく設定されていることを確認します。Email-and-MessagingアプリケーションアクションのAccelerate mapiを表示し、次のように定義されたMS-EndPortClassifierおよびトラフィックポリシーを表示します。

WAE674# sh run | include mapi

map adaptor EPM mapi

name Email-and-Messaging All action optimize full accelerate mapi

WAE674# sh run | begin MS-EndPointMapper

...skipping

classifier MS-EndPointMapper

match dst port eq 135

exit

WAE674# sh run | include MS-EndPointMapper

classifier MS-EndPortMapper

name Other classifier MS-EndPortMapper action optimize DRE no compression none accelerate MS-port-mapper

show policy-engine application dynamicコマンドを使用して、次のようにダイナミック一致ルールが存在することを確認します。

- [User ID:EPMおよびマップ名：uuida4f1db00-ca47-1067-b31f-00dd010662da。

- [フロー]フィールドは、Exchangeサービスへのアクティブな接続の総数を示します。

- MAPIクライアントごとに、ユーザIDを持つ個別のエントリが表示されます。MAPI

show statistics connection optimized mapiコマンドを使用して、WAASデバイスが最適化されたMAPI接続を確立していることを確認します。次のように、MAPI AOが使用されたことを示すMAPI接続の[Accel]列に[M]が表示されることを確認します。

WAE674# show stat conn opt mapi

Current Active Optimized Flows:                      2

Current Active Optimized TCP Plus Flows:          1

Current Active Optimized TCP Only Flows:          1

Current Active Optimized TCP Preposition Flows:   0

Current Active Auto-Discovery Flows:                 0

Current Reserved Flows:                              12               <---------- Added in 4.1.5

Current Active Pass-Through Flows:                   0

Historical Flows:                                    161

D:DRE,L:LZ,T:TCP Optimization RR:Total Reduction Ratio

A:AOIM,C:CIFS,E:EPM,G:GENERIC,H:HTTP,M:MAPI,N:NFS,S:SSL,V:VIDEO

ConnID  Source IP:Port         Dest IP:Port        PeerID           Accel RR

342     10.56.94.101:4506    10.10.100.100:1456  0:1a:64:d3:2f:b8   TMDL  61.0%   <-----Look for "M"

注：バージョン4.1.5では、出力にCurrent Reserved Flowsカウンタが追加されました。このカウンタは、WAE上で予約済みのMAPI接続リソースのうち、現在は使用されていないが、将来のMAPI接続のために確保されているリソースの数を示します。予約済みMAPI接続とそのデバイス過負荷への影響の詳細については、「過負荷状態のトラブルシューティング」の「MAPIアプリケーションアクセラレータによる過負荷時の予約接続への影響」の項を参照してください。

[Accel]列で「TGDL」の接続を確認した場合、これらの接続は汎用AOにプッシュされ、トランスポート最適化でのみ最適化されます。これらの接続がMAPI AOによって処理されることが予想される場合は、それらが暗号化されたMAPI接続であるためです。要求された暗号化されたMAPI接続の数を確認するには、次のようにshow statistics accelerator mapiコマンドを使用します。

wae# sh stat accel mapi

MAPI:

Global Statistics

-----------------

Time Accelerator was started:                                      Thu Nov  5 19:45:19 2009

Time Statistics were Last Reset/Cleared:                           Thu Nov  5 19:45:19 2009

Total Handled Connections:                                         8615

Total Optimized Connections:                                       8614

Total Connections Handed-off with Compression Policies Unchanged:  0

Total Dropped Connections:                                         1

Current Active Connections:                                        20

Current Pending Connections:                                       0

Maximum Active Connections:                                        512

Number of Synch Get Buffer Requests:                               1052

Minimum Synch Get Buffer Size (bytes):                             31680

Maximum Synch Get Buffer Size (bytes):                             31680

Average Synch Get Buffer Size (bytes):                             31680

Number of Read Stream Requests:                                    3844

Minimum Read Stream Buffer Size (bytes):                           19

Maximum Read Stream Buffer Size (bytes):                           31744

Average Read Stream Buffer Size (bytes):                           14556

Minimum Accumulated Read Ahead Data Size (bytes):                  0

Maximum Accumulated Read Ahead Data Size (bytes):                  1172480

Average Accumulated Read Ahead Data Size (bytes):                  594385

Local Response Count:                                              20827

Average Local Response Time (usec):                                250895

Remote Response Count:                                             70486

Average Remote Response Time (usec):                               277036

Current 2000 Accelerated Sessions:                                 0

Current 2003 Accelerated Sessions:                                 1

Current 2007 Accelerated Sessions:                                 0

Secured Connections:                                               1               <-----Encrypted connections

Lower than 2000 Sessions:                                          0

Higher than 2007 Sessions:                                         0

暗号化されたMAPI接続を要求するクライアントのIPアドレスは、次のようなメッセージを検索してsyslogに記録できます。

2009 Jan 5 13:11:54 WAE512 mapi_ao: %WAAS-MAPIAO-3-132104: (929480) Encrypted connection. Client ip: 10.36.14.82

MAPI接続の統計情報を表示するには、次のようにshow statistics connection optimized mapi detailコマンドを使用します。

WAE674# show stat conn opt mapi detail

Connection Id:            1830

Peer Id:                  00:14:5e:84:24:5f

Connection Type:          EXTERNAL CLIENT

Start Time:               Thu Jun 25 06:32:27 2009

Source IP Address:        10.10.10.10

Source Port Number:       3774

Destination IP Address:   10.10.100.101

Destination Port Number:  1146

Application Name:         Email-and-Messaging                            <-----Should see Email-and-Messaging

Classifier Name:          **Map Default**

Map Name:                 uuida4f1db00-ca47-1067-b31f-00dd010662da       <-----Should see this UUID

Directed Mode:            FALSE

Preposition Flow:         FALSE

Policy Details:

Configured:        TCP_OPTIMIZE + DRE + LZ

Derived:        TCP_OPTIMIZE + DRE + LZ

Peer:        TCP_OPTIMIZE + DRE + LZ

Negotiated:        TCP_OPTIMIZE + DRE + LZ

Applied:        TCP_OPTIMIZE + DRE + LZ

Accelerator Details:

Configured:   MAPI                                           <-----Should see MAPI configured

Derived:   MAPI

Applied:   MAPI                                           <-----Should see MAPI applied

Hist:   None

Original            Optimized

-------------------- --------------------

Bytes Read:                                     4612                 1973

Bytes Written:                                  4086                 2096

. . .

ローカルおよびリモートの応答数と平均応答時間を次の出力に示します。

. . .

MAPI : 1830

Time Statistics were Last Reset/Cleared:                           Thu Jun 25

06:32:27 2009

Total Bytes Read:                                                46123985

Total Bytes Written:                                             40864046

Number of Synch Get Buffer Requests:                               0

Minimum Synch Get Buffer Size (bytes):                             0

Maximum Synch Get Buffer Size (bytes):                             0

Average Synch Get Buffer Size (bytes):                             0

Number of Read Stream Requests:                                    0

Minimum Read Stream Buffer Size (bytes):                           0

Maximum Read Stream Buffer Size (bytes):                           0

Average Read Stream Buffer Size (bytes):                           0

Minimum Accumulated Read Ahead Data Size (bytes):                  0

Maximum Accumulated Read Ahead Data Size (bytes):                  0

Average Accumulated Read Ahead Data Size (bytes):                  0

Local Response Count:                                              0                  <----------

Average Local Response Time (usec):                                0                  <----------

Remote Response Count:                                             19                 <----------

Average Remote Response Time (usec):                               89005              <----------

. . .

暗号化されたMAPIアクセラレーション

要約

WAAS 5.0.1以降、MAPIアクセラレータは暗号化されたMAPIトラフィックを高速化できるようになりました。この機能は、5.0.3リリースではデフォルトで有効になります。ただし、暗号化されたMAPIトラフィックを正常に高速化するには、WAAS環境とMicrosoft AD環境の両方に多数の要件があります。このガイドは、eMAPI機能の確認とトラブルシューティングに役立ちます。

機能情報

eMAPIはデフォルトで5.0.3で有効になり、暗号化されたトラフィックを正常に高速化するには次の手順が必要になります。

1)すべてのコアWAEでCMSセキュアストアを初期化し、開く必要があります

2) WAEは、ExchangeサーバとKerberos KDC(Active Directory Controller)のFQDNを解決できる必要があります

3) WAEのクロックがKDCと同期している必要があります

4) OutlookからExchangeへのパス内のすべてのWAEで、SSLクレレータ、WAN Secure、およびeMAPIを有効にする必要があります

5)パス内のWAEには、正しいポリシーマップ設定が必要です

6)コアWAEには、1つ以上の暗号化サービスドメインID（ユーザアカウントまたはマシンアカウント）が設定されている必要があります

7)マシンアカウントを使用する場合、このWAEはADドメインに参加する必要があります。

8)次に、MachineまたはUserアカウントの使用例を使用して、Active Directory内のオブジェクトに特定の権限を付与する必要があります。「ディレクトリ変更のレプリケート」と「ディレクトリ変更のレプリケートすべて」の両方を許可するように設定する必要があります。

これを行う推奨方法は、ユニバーサルセキュリティグループ（グループに権限を割り当て、暗号化サービスで指定されたWAASデバイスやユーザ名をこのグループに追加するなど）です。 AD設定とWAAS CM GUIのスクリーンショットについては、付属のガイドを参照してください。

トラブルシューティング手法

手順1：暗号化サービスIDの設定とキーの取得が成功したことを確認します

診断コマンド（ステップ2）は暗号化サービスの存在を確認しますが、キーの取得が成功するかどうかを確認しません。したがって、Active Directory(AD)内のオブジェクト（マシンまたはユーザアカウント）に適切な権限が与えられた場合、この診断コマンドを実行するだけで分かりません。

暗号化サービスがキーの取得に成功することを設定および確認するために実行する必要がある内容の概要

ユーザアカウント：

1. ADユーザの作成

2.ADグループを作成し、[Replicating Directory Changes]および[Replicating Directory Changes All]を[ALLOW]に設定します

を選択します。作成したグループにユーザを追加します

4.encryption servicesでのユーザアカウントドメインidの定義

5.run get key diagnostic cli

windows-domain diagnostics encryption-service get-key <exchange server FQDN> <ドメイン名>

複数のExchangeサーバに解決される可能性があるNLB/VIPタイプのFQDNではなく、サーバに設定されている実際のExchangeサーバ名を使用する必要があります。

6.キーの取得が成功した場合 – 完了

成功の例：

pdi-7541-dc#windows-domain diagnostics encryption-service get-key pdidc-exchange1.pdidc.cisco.com pdidc.cisco.com

SPN pdidc-exchange1.pdidc.cisco.com、ドメイン名：pdidc.cisco.com

キーの取得を実行中です。

pdi-7541-dc#windows-domain diagnostics encryption-service get-key pdidc-exchange1.pdidc.cisco.com pdidc.cisco.com

SPN pdidc-exchange1.pdidc.cisco.com、ドメイン名：pdidc.cisco.com

pdidc-exchange1.pdidc.cisco.comのキーはメモリキーキャッシュに存在します

マシンアカウント

1. コアWAEデバイスをADドメインに参加させる

2.ADグループを作成し、[Replicating Directory Changes]および[Replicating Directory Changes All]を[ALLOW]に設定する

を選択します。作成したグループにマシンアカウントを追加

4.マシンアカウントを使用するための暗号化サービスの設定

5.グループポリシーを結合されたマシンに適用するか、グループポリシーを強制的にADから適用するように時間を与えます。 gpupdate /force.

6.run get key diagnostic cli

windows-domain diagnostics encryption-service get-key <exchange server FQDN> <ドメイン名>

複数のExchangeサーバに解決される可能性があるNLB/VIPタイプのFQDNではなく、サーバに設定されている実際のExchangeサーバ名を使用する必要があります。

7.キーの取得が成功した場合 – 完了

暗号化サービスとAD設定の詳細とスクリーンショットについては、付属のガイドを参照してください。

ステップ2:5.0.3で、必要な設定の一部を確認するための新しい診断コマンドが導入されました。

̶accelerator mapi verify encryption settings

1.CLIは、さまざまな妥当性チェックを行います。この出力は、暗号化されたMAPIトラフィックをエッジまたはコアとして高速化する機能をまとめたものです。

2.暗号化サービスが正常に動作するためのさまざまなコンポーネントのステータス/設定属性をチェックします。

3.設定の問題が見つかった場合は、不足している項目と、それを修正するためのCLIまたはアクションが出力されます。

4.エッジデバイスとコアデバイスとして要約を提供します。エッジとコアの両方に対応するデバイスでは、エッジとコアの両方でEMAPIが動作している必要があります。

誤って設定されたWAEからの出力例を次に示します。

Core#accelerator mapi verify encryption-settings

[EDGE:]

Verifying Mapi Accelerator State

--------------------------------

Status: FAILED

Accelerator     Config State    Operational State

-----------     ------------    -----------------

mapi            Disabled        Shutdown

>>Mapi Accelerator should be Enabled

>>Mapi Accelerator should be in Running state

Verifying SSL Accelerator State

-------------------------------

Status: FAILED

>>Accelerator   Config State    Operational State

-----------     ------------    -----------------

ssl             Disabled        Shutdown

>>SSL Accelerator should be Enabled

>>SSL Accelerator should be in Running state

Verifying Wan-secure State

--------------------------

Status: FAILED

>>Accelerator   Config State    Operational State

-----------     ------------    -----------------

wan-secure      Disabled        Shutdown

>>Wan-secure should be Enabled

>>Wan-secure should be in Running state

Verifying Mapi Wan-secure mode Setting

---------------------------------

Status: FAILED

Accelerator Config Item                 Mode            Value

-----------------------                 ----            ------

WanSecure Mode                          User            Not Applicable

>>Mapi wan-secure setting should be auto/always

Verifying NTP State

--------------------

Status: FAILED

>>NTP status should be enabled and configured

Summary [EDGE]:

===============

Device has to be properly configured for one or more components

[CORE:]

Verifying encryption-service State

----------------------------------

Status: FAILED

Service                 Config State    Operational State

-----------             ------------    -----------------

Encryption-service      Disabled        Shutdown

>>Encryption Service should be Enabled

>>Encryption Service status should be in 'Running' state

Verifying Encryption-service Identity Settings

----------------------------------------------

Status: FAILED

>>No active Encryption-service Identity is configured.

>>Please configure an active Windows Domain Encryption Service Identity.

Summary [CORE]: Applicable only on CORE WAEs

============================================

Device has to be properly configured for one or more components

正しく設定されたコアWAEからの出力を次に示します。

Core#acc mapi verify encryption-settings [EDGE:]

Verifying Mapi Accelerator State

--------------------------------

Status: OK

Verifying SSL Accelerator State

-------------------------------

Status: OK

Verifying Wan-secure State

--------------------------

Status: OK

Verifying Mapi encryption Settings

----------------------------------

Status: OK

Verifying Mapi Wan-secure mode Setting

---------------------------------

Status: OK

Verifying NTP State

--------------------

Status: OK

Summary [EDGE]:

===============

Device has proper configuration to accelerate encrypted traffic

[CORE:]

Verifying encryption-service State

----------------------------------

Status: OK

Verifying Encryption-service Identity Settings

----------------------------------------------

Status: OK

Summary [CORE]: Applicable only on CORE WAEs

============================================

Device has proper configuration to accelerate encrypted traffic

手順3：上記の診断コマンドでチェックされていないWAE設定を手動で確認します。

1)上記のコマンドは、NTPが設定されているかどうかをチェックしますが、WAEとKDCの間で時刻が同期していることを実際には確認しません。キーの取得を成功させるために、CoreとKDCの時刻が同期していることが非常に重要です。

手動チェックで同期されていないことが判明した場合、WAEのクロックを強制的に同期させる簡単な方法は、ntpdateコマンド(ntpdate <KDC ip>)です。 次に、WAEをエンタープライズNTPサーバにポイントします。

2) ExchangeサーバのFQDNとKDCのFQDNのすべてのWAEでdnslookupが成功することを確認します

3)パス内のすべてのWAEでクラスマップとポリシーマップが正しく設定されていることを確認します。

pdi-7541-dc#sh class-map type waas MAPI

クラスマップの種類は、match-any MAPIです

tcp宛先epm mapiと一致（0フロー一致）

pdi-7541-dc#show policy-map type waas Policy-map type waas

WAAS-GLOBAL(合計6084690)

クラスMAPI（フロー一致なし）

mapiアプリケーションの完全な高速化を最適化する電子メールおよびメッセージング

4)すべてのWAEでCMSセキュアストアが開いており、初期化されていることを確認します。「show cms secure store」

データ分析

diagnosticコマンドと手動showコマンドの出力を分析する以外に、sysreportを確認する必要があります。

具体的には、mapiao-errorlog、sr-errorlog（コアWAEのみ）、およびwsao-errorlogファイルを確認します。

各ログには、一般的なAOへの接続がドロップされる理由に至るシナリオに応じたヒントが表示されます。

ここでは、さまざまな動作コンポーネントを示すサンプル出力を示します

この出力はsr-errorlogによるものであり、Machine Account Encryption Service(MCU)Identityの検証を示しています

注：これは、ドメインに参加したコアWAEとマシンアカウントの存在のみを確認します。

07/03/2012 19:12:07.278(Local)(6249 1.5) NTCE (278902) Adding Identity MacchineAcctWAAS to map active list in SRMain [SRMain.cpp:215]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279018) Adding identity(MacchineAcctWAAS) to Map [SRDiIdMgr.cpp:562]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279282) Activate Id: MacchineAcctWAAS [SRMain.cpp:260]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279306) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279321) Authentication for ID: MacchineAcctWAAS [SRDiIdMgr.cpp:398]

07/03/2012 19:12:07.330(Local)(6249 1.5) NTCE (330581) Authentication success, tkt validity starttime 1341342727 endtime 1341378727 [SRDiIdMgr.cpp:456]

07/03/2012 19:12:07.330(Local)(6249 1.5) NTCE (330599)

ID_TAG :MacchineAcctWAAS

Name : pdi-7541-dc

Domain : PDIDC.CISCO.COM

Realm : PDIDC.CISCO.COM

CLI_GUID :

SITE_GUID :

CONF_GUID :

Status:ENABLED

Black_Listed:NO

AUTH_STATUS: SUCCESS

ACCT_TYPE:Machine [SRIdentityObject.cpp:85]

07/03/2012 19:12:07.331(Local)(6249 1.5) NTCE (331685) DN Info found for domain PDIDC.CISCO.COM [SRIdentityObject.cpp:168]

07/03/2012 19:12:07.347(Local)(6249 1.5) NTCE (347680) Import cred successfull for pn: pdi-7541-dc@PDIDC.CISCO.COM [AdsGssCli.cpp:111]

この出力はCore sr-errorlogからのもので、KDCからのキーの取得に成功したことを示しています。

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673766) Key Not Found in cache, initiating retrieval for spn:exchangeMDB/pdidc-exchange1.pdidc.cisco.com [SRServer.cpp:297]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673811) Queued InitiateKeyRetrieval task [SRServer.cpp:264]10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673819)

Key retrieval is in Progress [SRServer.cpp:322]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673818) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673827) initiating key retrieval in progress [SRDataServer.cpp:441]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673834) Sending ack for result 2, item name /cfg/gl/sr/sr_get_key/pdidc-exchange1.pdidc.cisco.com@pdidc.cisco.com

[SRDataServer.cpp:444]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673922) Match found for DN: pdidc.cisco.com is ID:MacchineAcctWAAS [SRDiIdMgr.cpp:163]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673937) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673950) DN Info found for domain pdidc.cisco.com [SRIdentityObject.cpp:168]

10/23/2012 15:46:55.674(Local)(3780 0.0) NTCE (674011) DRS_SPN: E3514235-4B06-11D1-AB04-00C04FC2DCD2/e4c83c51-0b59-4647-b45d-780dd2dc3344/PDIDC.CISCO.COM for

PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:51]

10/23/2012 15:46:55.674(Local)(3780 0.0) NTCE (674020) CREATED srkr obj(0x50aa00) for spn (exchangeMDB/pdidc-exchange1.pdidc.cisco.com) [SRKeyMgr.cpp:134]

10/23/2012 15:46:55.674(Local)(3780 1.3) NTCE (674421) Import cred successfull for pn: PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:135]

10/23/2012 15:46:55.676(Local)(3780 1.3) NTCE (676280) session(0x50aa00) Complete TGT stage of GSS Successful, Initiating AppApi [SRKeyRetriever.cpp:408]

10/23/2012 15:46:55.676(Local)(3780 0.1) NTCE (676415) SRKR: Success in posting connect to service <ip:0e:6e:03:a3><port:135> [IoOperation.cpp:222]

10/23/2012 15:46:55.676(Local)(3780 0.0) NTCE (676607) Connected to server. [IoOperation.cpp:389]

10/23/2012 15:46:55.677(Local)(3780 0.0) NTCE (677736) SRKR: Success in posting connect to service <ip:0e:6e:03:a3><port:1025> [IoOperation.cpp:222]

10/23/2012 15:46:55.678(Local)(3780 0.1) NTCE (678001) Connected to server. [IoOperation.cpp:389]

10/23/2012 15:46:55.679(Local)(3780 0.1) NTCE (679500) Cleaning up credential cache for PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:212]

10/23/2012 15:46:55.680(Local)(3780 0.1) NTCE (680011) Parsing DRSBIND Response [AppApiDrsBind.cpp:222]

10/23/2012 15:46:55.680(Local)(3780 0.1) NTCE (680030) DRSBind Success, Status:00000000 [AppApiDrsBind.cpp:359]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685502) session(0x50aa00) Successful in Key Retrieval from AD for SPN:exchangeMDB/pdidc-exchange1.pdidc.cisco.com

[SRKeyRetriever.cpp:269]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685583) Send Key response to the Client for spn: exchangeMDB/pdidc-exchange1.pdidc.cisco.com, # of req's : 1

[SRKeyMgr.cpp:296]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685594) Deleting spn: exchangeMDB/pdidc-exchange1.pdidc.cisco.com entry from Pending key request map [SRKeyMgr.cpp:303]

この出力は、eMAPI接続を成功させるために、Edge WAEのmapiao-errorlogファイルから得られたものです

'''10/23/2012 17:56:23.080(Local)(8311 0.1) NTCE (80175) (fl=2433) Edge TCP connection initiated (-1409268656), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744],

Flavor: 0 [EdgeTcpConnectionDceRpcLayer.cpp:43]

10/23/2012 17:56:23.080(Local)(8311 0.1) NTCE (80199) Edge TCP connection initiated (-1409268656), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], Flavor: 0

[EdgeTcpConnectionDceRpcLayer.cpp:48]

10/23/2012 17:56:23.108(Local)(8311 0.0) NTCE (108825) (fl=2433) Bind Request from client with AGID 0x0, callId 2, to dest-ip 14.110.3.99, AuthLevel: PRIVACY

AuthType: SPNEGO AuthCtxId: 0 WsPlumb:1

[EdgeTcpConnectionDceRpcLayer.cpp:1277]'''

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109935) CheckAndDoAoshReplumbing perform replumbing wsPlumbState 1 [Session.cpp:315]

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109949) (fl=2433) AOSH Replumbing was performed returned Status 0 [Session.cpp:337]

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109956) CheckAndPlumb WanSecure(14) ret:= [1,0] WsPlumb:4 fd[client,server]:=[25,26] [AsyncOperationsQueue.cpp:180]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312687) (fl=2433) Connection multiplexing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:499]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312700) (fl=2433) Header signing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:510]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312719) (fl=2433) OnNewConnection - Client IP 14.110.3.117 (0xe6e0375), Serv IP 14.110.3.99 (0xe6e0363), nDstPort=27744,

nAssociationGroup=0x11de4,conn_fd=26,

bWasConnectionFromReservedPool=0, bIsNewMapiSession=1 [ConnectionReservationManager.cpp:255]

'''10/23/2012 17:56:23.366(Local)(8311 0.1) NTCE (366789) (fl=2433) Received security context from core with auth context id: 0 [EdgeTcpConnectionDceRpcLayer.cpp:2912]

10/23/2012 17:56:23.367(Local)(8311 0.1) NTCE (367157) (fl=2433) Security Layer moved to ESTB state [FlowSecurityLayer.cpp:311]'''

10/23/2012 17:56:23.368(Local)(8311 0.1) NTCE (368029) (fl=2433) Informational:: Send APC set to WS: asking for Cipher 2 [EdgeTcpConnectionDceRpcLayer.cpp:809]

10/23/2012 17:56:23.368(Local)(8311 0.1) NTCE (368041) (fl=2433) Sec-Params [CtxId, AL, AT, ACT, DCT, [Hs, ConnMplx, SecMplx]]:=[0, 6, 9, 18, 18 [1,1,0]]

[FlowIOBuffers.cpp:477]

10/23/2012 17:56:23.369(Local)(8311 0.0) NTCE (369128) (fl=2433) CEdgeTcpConnectionEmsMdbLayer::ConnectRequestCommon (CallId 2): client version is ProductMajor:14,

Product Minor:0, Build Major:6117,

Build Minor:5001 Client ip 14.110.3.117 Client port 58352 Dest ip 14.110.3.99 Dest port 27744 [EdgeTcpConnectionEmsMdbLayer.cpp:1522]

10/23/2012 17:56:23.868(Local)(8311 0.1) ERRO (868390) (fl=2433) ContextHandle.IsNull() [EdgeTcpConnectionEmsMdbLayer.cpp:1612]

10/23/2012 17:56:23.890(Local)(8311 0.0) NTCE (890891) (fl=2433) CEdgeTcpConnectionEmsMdbLayer::ConnectRequestCommon (CallId 3): client version is ProductMajor:14,

Product Minor:0, Build Major:6117,

Build Minor:5001 Client ip 14.110.3.117 Client port 58352 Dest ip 14.110.3.99 Dest port 27744 [EdgeTcpConnectionEmsMdbLayer.cpp:1522]

同じTCP接続に対するmapiao-errorlogからの対応するCore WAE出力を次に示します

'''10/23/2012 17:56:54.092(Local)(6408 0.0) NTCE (92814) (fl=21) Core TCP connection initiated (11892640), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], F

lavor: 0 [CoreTcpConnectionDceRpcLayer.cpp:99]

10/23/2012 17:56:54.092(Local)(6408 0.0) NTCE (92832) Core TCP connection initiated (11892640), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], Flavor: 0

[CoreTcpConnectionDceRpcLayer.cpp:104]'''

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175035) SrlibCache Cache eviction starting: static void srlib::CSrlibCache:: OnAoShellDispatchCacheCleanup(vo

id*, aosh_work*) [SrlibCache.cpp:453]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175068) last_cleanup_time (1344411860), evict_in_progress(1) handled_req_cnt (1) cache_size (0) [SrlibCache.

cpp:464]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175121) SendNextCmd isDuringSend 0, WriteQueue sz 1, isDuringclose 0 [SrlibClientTransport.cpp:163]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175132) SendNextCmd: Sending request: exchangeMDB/PDIDC-EXCHANGE1.pdidc.cisco.com:23[v:=11], WriteQueue sz 0

[bClose 0] [SrlibClientTransport.cpp:168]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185576) OnReadComplete len 4 status 0 isDuringRead 1, isDuringHeaderRead 1, isDuringclose 0 [SrlibTransport.

cpp:127]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185587) Parse header, msg body len 152 [SrlibTransport.cpp:111]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185592) ReadNextMsg isDuringRead 0, isDuringHeaderRead 1, isDuringclose 0 [SrlibTransport.cpp:88]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185623) OnReadComplete len 148 status 0 isDuringRead 1, isDuringHeaderRead 0, isDuringclose 0 [SrlibTranspor

t.cpp:127]

'''10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185688) Insert new KrbKey: exchangeMDB/PDIDC-EXCHANGE1.pdidc.cisco.com::23[v:=11]:[{e,f,l}:={0, 0x1, 16} [S

rlibCache.cpp:735]

'''10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185747) ReadNextMsg isDuringRead 0, isDuringHeaderRead 0, isDuringclose 0 [SrlibTransport.cpp:88]

'''10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261575) (fl=21) Successfully created memory keytab with name: MEMORY:exchangeMDB@PDIDC-EXCHANGE1.pdidc.cisco

.com0nxrPblND [GssServer.cpp:468]

10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261613) (fl=21) Successfully added entry in memory keytab. [GssServer.cpp:92]

10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261858) (fl=21) Successfully acquired credentials. [GssServer.cpp:135]'''

一般的な問題

以下は、eMAPI接続をGeneric AO(TG)にハンドオフする一般的な理由です。

問題 1：コアWAEに設定されている暗号化サービスIDに、ADで正しい権限がありません。

Core WAEのsr-errologからの出力

09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147570) session(0x517fa0) Failed to Retrieve Key from AD for SPN:exchangeMDB/outlook.sicredi.net.br error:16 [SRKeyRetriever.cpp:267]

'''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147592) Key retrieval failed with Status 16 [SRKeyMgr.cpp:157]

''''''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147623) Identity "WAASMacAct" has been blacklisted [SRDiIdMgr.cpp:258]

''''''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147631) Key retrieval failed due to permission issue [SRKeyMgr.cpp:167]

'''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147636) Identity: WAASMacAct will be black listed. [SRKeyMgr.cpp:168]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147657) Calling KrbKeyResponse  key handler in srlib [SRServer.cpp:189]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147722) Queued send reponse buffer to client task [SrlibServerTransport.cpp:136]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147730) KrbKeyResponse, sent to client session object [SrlibServer.cpp:203]

09/25/2012 18:47:54.147(Local)(9063 0.0) NTCE (147733) SendNextCmd isDuringSend 0, WriteQueue size 1 isDuringClose 0 [SrlibServerTransport.cpp:308]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147740) Send Key response to the Client

解決策1:設定ガイドを参照し、ADのオブジェクトに正しい権限があることを確認します。「ディレクトリ変更のレプリケート」と「ディレクトリ変更のレプリケートすべて」の両方を許可するように設定する必要があります。

http://www.cisco.com/en/US/docs/app_ntwk_services/waas/waas/v511/configuration/guide/policy.html#wp1256547

問題 2：Core WAEとKDCの間には、キーの取得を試みる時間の誤差があります

Core WAEのsr-errologからの出力

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507836) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507878) Match found for DN: pdidc.cisco.com is ID:MacchineAcctWAAS [SRDiIdMgr.cpp:163]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507888) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507901) DN Info found for domain pdidc.cisco.com [SRIdentityObject.cpp:168]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507923) DRS_SPN: E3514235-4B06-11D1-AB04-00C04FC2DCD2/e4c83c51-0b59-4647-b45d-780dd2dc3344/PDIDC.CISCO.COM for

PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:51]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507933) CREATED srkr obj(0x2aaaac0008c0) for spn (exchangeMDB/pdidc-exchange1.pdidc.cisco.com) [SRKeyMgr.cpp:134]

10/23/2012 01:31:33.508(Local)(1832 1.6) NTCE (508252) Import cred successfull for pn: PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:135]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511151) CreateSecurityContext: gss_init_sec_context failed [majorStatus = 851968 (0xd0000)] [GssCli.cpp:176]

'''10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511170) GSS_MAJOR ERROR:851968 msg_cnt:0, Miscellaneous failure (see text)CD2 [GssCli.cpp:25]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511177) GSS_MINOR ERROR:2529624064 msg_cnt:0, Clock skew too great [GssCli.cpp:29]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511182) gsskrb5_get_subkey failed: 851968,22, [GssCli.cpp:198]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511188) session(0x2aaaac0008c0) Error: Invalid security ctx state, IsContinue is false with out token exchange

[SRKeyRetriever.cpp:386]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511193) session(0x2aaaac0008c0) Failed to Retrieve Key from AD for SPN:exchangeMDB/pdidc-exchange1.pdidc.cisco.com error:1

[SRKeyRetriever.cpp:267]'''

10/23/2012 01:31:33.511(Local)(1832 0.0) ERRO (511213) Key retrieval failed with Status 1 [SRKeyMgr.cpp:157]

解決策2:すべてのWAE（特にコア）でntpdateを使用して、クロックをKDCと同期します。次に、エンタープライズNTPサーバをポイントします（KDCと同じ場合もあります）。

問題 3：暗号化サービスに定義したドメインが、Exchangeサーバーのドメインと一致しません。

Core WAEのsr-errologからの出力

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918788) Key retrieval is in Progress [SRServer.cpp:322]

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918793) initiating key retrieval in progress [SRDataServer.cpp:441]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918790) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918798) Sending ack for result 2, item name /cfg/gl/sr/sr_get_key/pdidc-exchange.cisco.com@cisco.com [SRDataServer.cpp:444]

10/23/2012 18:41:21.918(Local)(3780 0.0) ERRO (918813) Failed to find Identity match for domain cisco.com [SRDiIdMgr.cpp:157]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918821) Failed to find identity match for domain [SRKeyMgr.cpp:120]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918832) Send Key response to the Client for spn: exchangeMDB/pdidc-exchange.cisco.com, # of req's: 1 [SRKeyMgr.cpp:296]

解決策3:コアWAEが異なるドメインの複数のExchangeサーバにサービスを提供する場合は、Exchangeサーバが存在するドメインごとに暗号化サービスIDを設定する必要があります。

現時点では、サブドメインインクルードはサポートされていません。したがって、myexchange.sub-domain.domain.comがある場合、暗号化サービスのIDはsub-domain.domain.comにある必要があります。親ドメインに含めることはできません

問題 4：WANecureが失敗すると、接続がTGにドロップする可能性があります

eMAPI接続は、WANセキュアplumbが失敗したため、Generic AOに引き継ぐことができます。証明書の検証に失敗したため、WAN Secure plumbが失敗しました。デフォルトの自己署名ピア証明書が使用されているか、証明書のOCSPチェックが正当に失敗しているため、ピア証明書の検証に失敗します。

コアWAE設定

crypto pki global-settings

ocsp url http://pdidc.cisco.com/ocsp

revocation-check ocsp-cert-url

exit

!

crypto ssl services host-service peering

peer-cert-verify

exit

!

WAN Secure:

Accelerator Config Item              Mode           Value

-----------------------              ----           ------

SSL AO                               User           enabled

Secure store                         User           enabled

Peer SSL version                     User           default

Peer cipher list                     User           default

Peer cert                            User           default

Peer cert verify                     User           enabled

これにより、次のmapiao-errorlogおよびwsao-errorlogエントリが生成されます。

このヒントは、強調表示されている最初の行「4回以上連続して接続解除」です

クライアント側WAEのMapiao-errorlog:

'''10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25621) (fl=267542) Client 10.16.1.201 disconnected more than four consecutive times - push down to generic ao.

[EdgeTcpConnectionDceRpcLayer.cpp:1443]

'''10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25634) (fl=267542) CEdgeIOBuffers:: StartHandOverProcessSingleConnection: SECURED_STATE_NOT_ESTABLISHED

[EdgeIOBuffers.cpp:826]

10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25644) (fl=267542) CEdgeIOBuffers::CheckSendHandOverRequestToCoreAndBlockLan - Blocking LAN for read operations after last

fragment of call id 0, current call id is 2 [EdgeIOBuffers.cpp:324]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48753) (fl=267542) Connection multiplexing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:499]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48771) (fl=267542) Header signing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:510]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48779) (fl=267542) CEdgeIOBuffers:: StartHandOverProcessSingleConnection: GENERAL_UNCLASSIFIED [EdgeIOBuffers.cpp:826]

クライアント側WAEのWsao-errorlog:

'''10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430001) certificate verification failed 'self signed certificate' [open_ssl.cpp:1213]

'''10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430047) ssl_read failed: 'SSL_ERROR_SSL' [open_ssl.cpp:1217]

10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430055) openssl errors: error:14090086: SSL routines: SSL3_GET_SERVER_CERTIFICATE:certificate verify failed:s3_clnt.c:1244:

[open_ssl.cpp:1220]

解決策4:ピア証明書の検証設定を両方のWAEから削除し、コアWAEで暗号化サービスを再起動します。

pdi-7541-dc(config)#crypto ssl services host-service peering

pdi-7541-dc(config-ssl-peering)#no peer-cert-verify

pdi-7541-dc(config)#no windows-domain encryption-service enable

pdi-7541-dc(config)#windows-domain encryption-service enable

問題 5：OutlookクライアントでNTLMが使用されている場合、接続は汎用AOにプッシュされます。

クライアント側のWAEのmapiao-errorlogには次のように表示されます。

'''waas-edge#find-patter match ntlm mapiao-errorlog.current

'''

09/21/2012 20:30:32.154(Local)(8930 0.1) NTCE (154827) (fl=83271) Bind Request from client with AGID 0x0, callId 1, to dest-ip 172.21. 12.96, AuthLevel:

PRIVACY '''AuthType:NTLM '''AuthCtxId: 153817840 WsPlumb: 2 [EdgeTcpConnectionDceRpcLayer.cpp:1277]

09/21/2012 20:30:32.154(Local)(8930 0.1) NTCE (154861) (fl=83271) '''Unsupported''' '''Auth Type :NTLM''' [EdgeTcpConnectionDceRpcLayer.cpp:1401] 09/21/2012 20:30:40.157(Local)

(8930 0.0) NTCE (157628) (fl=83283) Bind Request from client with AGID 0x0, callId 2, to dest-ip 172.21. 12.96, AuthLevel: PRIVACY AuthType:NTLM AuthCtxId: 153817840

WsPlumb: 2 [EdgeTcpConnectionDceRpcLayer.cpp:1277]

解決策5:お客様は、Exchange環境でKerberos認証を有効または必要とする必要があります。NTLMはサポートされていません（5.1以降）

CASを使用すると、NTLMにフォールバックするMicrosoftの技術概要があることに注意してください。

Kerberosが機能しないシナリオは、Exchange 2010に固有であり、次のシナリオに含まれています。

組織/ドメイン内の複数のExchange Client Access Server(CAS)。

これらのCASサーバは、Microsoftの組み込みクライアントアレイ機能またはサードパーティのロードバランサを使用する任意の方法を使用してクラスタ化されます。

上記のシナリオでは、Kerberosが機能せず、クライアントはデフォルトでNTLMにフォールバックします。これは、以前のExchangeリリースと同様に、クライアントがCASサーバとメールボックスサーバの間でAUTHを行う必要があるためです。

Exchange 2010 RTMでは、この問題に対する修正はありません。上記のシナリオのKerberosは、Exchange 2010-SP1より前では機能しません。

SP1では、これらの環境でKerberosを有効にできますが、手動プロセスです。この記事を参照してください。http://technet.microsoft.com/en-us/library/ff808313.aspx

MAPI AOロギング

- MAPI AOの問題のトラブルシューティングには、次のログファイルを使用できます。

- トランザクションログファイル：/local1/logs/tfo/working.log(および/local1/logs/tfo/tfo_log_*.txt)

デバッグログファイル：/local1/errorlog/mapiao-errorlog.current （およびmapiao-errorlog.*）

デバッグを簡単にするには、まずACLを設定して、パケットを1つのホストに制限する必要があります。

WAE674(config)# ip access-list extended 150 permit tcp host 10.10.10.10 any

WAE674(config)# ip access-list extended 150 permit tcp any host 10.10.10.10

トランザクションログを有効にするには、次のようにtransaction-logs設定コマンドを使用します。

wae(config)# transaction-logs flow enable

wae(config)# transaction-logs flow access-list 150

次のようにtype-tailコマンドを使用して、トランザクションログファイルの終わりを表示できます。

wae# type-tail tfo_log_10.10.11.230_20090715_130000.txt

Wed Jul 15 19:12:35 2009 :2289 :10.10.10.10 :3740 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :822 :634 :556 :706

Wed Jul 15 19:12:35 2009 :2289 :10.10.10.10 :3740 :10.10.100.101 :1146 :SODRE :END :730 :605 :556 :706 :0

Wed Jul 15 19:12:35 2009 :2290 :10.10.10.10 :3738 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :4758 :15914 :6436 :2006

Wed Jul 15 19:12:35 2009 :2290 :10.10.10.10 :3738 :10.10.100.101 :1146 :SODRE :END :4550 :15854 :6436 :2006 :0

Wed Jul 15 19:12:35 2009 :2284 :10.10.10.10 :3739 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :1334 :12826 :8981 :1031

MAPI AOのデバッグログを設定および有効にするには、次のコマンドを使用します。

注：デバッグロギングはCPUに負荷がかかり、大量の出力を生成する可能性があります。実稼働環境では慎重に慎重に使用してください。

ディスクへの詳細なロギングは、次のように有効にできます。

WAE674(config)# logging disk enable

WAE674(config)# logging disk priority detail

ACLの接続のデバッグロギングは、次のように有効にできます。

WAE674# debug connection access-list 150

MAPI AOデバッグのオプションは次のとおりです。

WAE674# debug accelerator mapi ?

all enable all MAPI accelerator debugs

Common-flow enable MAPI Common flow debugs

DCERPC-layer enable MAPI DCERPC-layer flow debugs

EMSMDB-layer enable MAPI EMSMDB-layer flow debugs

IO enable MAPI IO debugs

ROP-layer enable MAPI ROP-layer debugs

ROP-parser enable MAPI ROP-parser debugs

RPC-parser enable MAPI RPC-parser debugs

shell enable MAPI shell debugs

Transport enable MAPI transport debugs

Utilities enable MAPI utilities debugs

MAPI接続のデバッグログを有効にして、デバッグエラーログの最後を次のように表示できます。

WAE674# debug accelerator mapi Common-flow

WAE674# type-tail errorlog/mapiao-errorlog.current follow