Vana Korduma Kippuvad Küsimused moodul

INFO

Siin on vana versioon KKK moodulist.

Praegu oleme loomas uut versioonist sellest ning selle leiab siit

Turvaserveris enim esinevad veakoodid ja võimalikud lahendused neile

$ sudo service xroad-signer stop
$ sudo mv /var/cache/xroad/*ocsp /tmp
$ sudo service xroad-signer start

$ sudo -u xroad -i signer-console list-certs

<id:memberClass>$memberClass</id:memberClass>
<id:memberCode>$memberCode</id:memberCode>
<id:subsystemCode>$subSystemCode</id:subsystemCode>

$ openssl s_client -connect Infosüsteemi_HostName_või_IP:443 2>/dev/null | openssl x509 -noout -fingerprint

$ openssl s_client -connect $securityServerName:5500

$ sudo service xroad-signer stop
$ sudo mv /var/cache/xroad/*ocsp /tmp
$ sudo service xroad-signer start

$ sudo service xroad-proxy stop
$ sudo service xroad-proxy start

$ sudo service xroad-signer stop
$ sudo service xroad-signer start

<xrd:client id:objectType="MEMBER">

<id:subsystemCode>SUBSYSTEM</id:subsystemCode>

<xrd:client id:objectType="SUBSYSTEM">

$ sudo xroad-signer stop
$ sudo xroad-signer start

$ cat /etc/group | grep xroad

$ for dir in /proc/*/fd; do \
   echo -n "$dir "; \
   pid=`expr "$dir" : '\/proc\/\(.*\)\/.*'`; \
   pname=`ps -p $pid -o comm=`; \
   echo -n "$pname "; \
   ls $dir 2>/dev/null | wc -l; \
done | sort -n -k 3 | tail

$ lsof -p $procId                 

$ lsof -p $procId | grep "/etc/xroad/conf.d" | wc -l                

$ netstat -nap | egrep ":80|:443|:5500"             

$ netstat -nap

$ less /var/log/postgresql/ \
       /var/log/xroad/proxy.log

$ usermod -a -G nfast xroad

$ egrep "CKR_USER_NOT_LOGGED_IN" /var/log/xroad/signer.log

$ sudo -u xroad -i signer-console  list-certs

$ sudo service xroad-signer stop 
$ sudo service xroad-signer start

$ sudo -u xroad -i signer-console

$ sudo service xroad-signer stop

$ sudo service xroad-signer start

$ sudo service xroad-signer stop

$ sudo service xroad-signer start

Teenuste monitooringus (operational monitoring, opmon) enim esinevad veakoodid ja võimalikud lahendused neile

34. Server.ClientProxy.NetworkError: Could not connect to any target host ([https://IP:5500/])

Kontrolli, et veateates oleva IP-ga turvaserver aktsepteeriks päringuid pordile 5500 ja 5577. Sisenevale liiklusele peavad olema avatud tulemüüris TCP pordid 5500 ja 5577 järgnevatele RIA IP-dele vastavalt keskkonnale:

• ee-dev - 195.80.123.169
• ee-test - 195.80.123.164
• EE - 195.80.123.159

Kui antud turvaserver pole enam reaalselt kasutusel, siis palun saatke kiri [email protected] infoga asutuse registrikoodist ja turvaserveri nimest, mille võime kustutada.

35. Server.ServerProxy.OpMonitor.InternalError: Failed to get records for response: DatabaseError: java.lang.IllegalArgumentException: one of either dataSource or dataSourceClassName must be specified

Veendu, et andmebaasiga on ühendus: 

$ psql -U messagelog -W -h 127.0.0.1

Andmebaasi kasutaja messagelog parooli saab vaadata /etc/xroad/db.properties failist.

36. Server.ServerProxy.OpMonitor.InternalError: Could not initialize class ee.ria.xroad.opmonitordaemon.OperationalDataRequestHandler

Uuenda turvaserver uuema tarkvara peale.

$ apt dist upgrade apt install xroad-security-server-ee 

Alates versioonist 6.18.0 on antud viga parandatud.

37. Server.ServerProxy.OpMonitor.InternalError: Failed to get records for response: DatabaseError: Error accessing database (op-monitor)

Turvaserver ei saa sisemise andmebaasiga ühendust (nt andmebaasi kasutaja parool on vale). Võimalik seletus võib peituda andmebaasi ja turvaserveri logis: /var/log/postgresql/ ja /var/log/xroad/proxy.log. 

Võib proovida ka restartida teenust:

$ sudo service xroad-opmonitor restart
$ sudo service postgresql restart

38. Server.ServerProxy.ServiceFailed.NetworkError: Connect to localhost:2080 [localhost/127.0.0.1] failed: Connection refused (Connection refused)  

Xroad-monitor ja või opmonitoring teenus on paigaldamata. Kogu paketi paigaldamise käsk

$ sudo apt-get install xroad-securityserver-ee

Võimalik seletus (nt andmebaasi kasutaja parool on vale) võib peituda ka andmebaasi ja turvaserveri logis: /var/log/postgresql/ ja /var/log/xroad/proxy.log. Võib proovida ka restartida teenust:

$ sudo service xroad-opmonitor restart

39. Server.ServerProxy.ServiceFailed.CannotCreateSignature: Failed to get signing info for member: Signer.UnknownMember: Could not find any certificates for member

Vaata punkt 4

40. Server.ServerProxy.ServiceFailed.CannotCreateSignature: Failed to get signing info for member  HttpError: Connection to Signer (port 5558) timed out

Restart teenusele. Selleks käivita turvaserveri käsureal käsk: 

$ sudo service xroad-signer restart

Kontrolli, et turvaserveri haldusliidese menüüs „Management“ -> „Keys and Certificates“ lehel olev Token ja selle all olev Key read on valgel taustal.

Veendu, et HSM või selle slotid, kus asuvad võtmed, millega allkirjastatakse päringuid on staatuses "OK, writable, available, active". Selleks käivita turvaserveri käsureal järgmine käsk: 

$ sudo -u xroad -i signer-console  list-certs

41. Server.ServerProxy.ServiceFailed.InvalidSecurityServer: Invalid security server identifier 

Uue turvaserveri paigaldamisel peab turvaserveri enda kood (tähis) olema unikaalne kõigi asutusele kuuluvate (ka varem kuulunud) turvaserveri koodide (tähiste) hulgas. Tegemist on asutuse sees oleva unikaalse turvaserveri indentifikaatoriga.

42. Server.ClientProxy.SslAuthenticationFailed: Service provider did not send correct authentication certificate

Palun kontrollige turvaserveri haldusliideses Keys and Certificates vaates enda kasutusel olevaid sertifikaate. Sertifikaadid algusega "X-road-6 Server CA ..." on tühistatud 19.02.2020. Nende asemele on vaja tellida uued sertifikaadid. 

Uue sertifikaadi tellimiseks:

• turvaserveris Keys and Certificates vaates luua uus võti (generate key)
• võtmele genereerida uus sertifikaadi taotlus (generate CSR)
• Certification Service väärtuseks valida kindlasti "TEST of KLASS3-RIA 2018 G1"
• CSR Format väärtuseks jääb PEM
• edasta genereeritud sertifikaadi taotlus e-postile [email protected] koos asutuse nimega, registrikoodiga, turvaserveri nimega ning genereeritud AUTH ja/või SIGN csr-id manusena.

Vaata ka eespool punkti 9.

43. Server.ClientProxy.SslAuthenticationFailed.InternalError: Could not find OCSP response for certificate

Kontrollige uuenduste saadavust xroad-* programmide jaoks käsuga 

$ apt list --upgradable

Soovitame uuendada xroad-* teenused kõige uuema seisuni. Uuenduste puudmisel restart teenusele 

$ sudo service xroad-signer restart

Logi kontroll, uurida ega mingeid vigu ei hakka silma vea ilmnemise ajahetke ümber. Logis peab korras oleku juhul olema iga minut korduvad ühesugused read eduka allalaadimise kohta.

$ less /var/log/xroad/configuration_client.log

44. Server.ServerProxy.LoggingFailed.TimestamperFailed: Cannot time-stamp messages: no timestamping services configured

Veendu, et turvaserveris on menüüs „Configuration“ -> „System Parameters“ lehel „Timestamping Services“ täidetud.

45. Server.ServerProxy.LoggingFailed.InternalError: Ask timed out on [Actor[akka://Proxy/user/LogManager#2110275378]] after [40000 ms]. Sender[null] sent message of type "ee.ria.xroad.common.messagelog.LogMessage".

Veendu, et turvaserver pole ülekoormatud või kõvaketta maht pole täis saanud. Võid proovida ka masina restarti.

46. Server.ServerProxy.LoggingFailed.InternalError: Futures timed out after [40 seconds]

Veendu, et turvaserver pole ülekoormatud.

47. Server.ServerProxy.LoggingFailed.TimestamperFailed: Cannot time-stamp messages

Veendu, et turvaserveris on menüüs „Configuration“ -> „System Parameters“ lehel „Timestamping Services“ täidetud. Turvaserveri menüüs "Management" -> "Diagnostics" lehel Timestamping lahtris peab Message olek sisaldama teadet "Connection ok".  Võib aidata teenuse taaskäivitus: "sudo service xroad-proxy restart".

Soovitav on uurida ka logisid ajatembeldamis vigade kohta logifailist /var/lib/proxy.log. Võib juhtuda ka, et ajatembeldamisteenust pakkuv osapool on teie turvaserveri ip aadressi jätnud lisamata lubatud aadressite hulka.

48. Server.ServerProxy.UnknownService: Unknown service: SERVICE:EE/…/getSecurityServerOperationalData

Kontrollige uuenduste saadavust xroad-* programmide jaoks käsuga 

$ apt list --upgradable

Monitooringu paketi puudumisel paigaldage puudu olevad pakid käsuga 

$ sudo apt-get install xroad-securityserver-ee

Vaata ka 52. X-tee turvaserveri tarkvara uuendamine 6.16 pealt 6.18.0 versioonile.

49. Server.ServerProxy.CannotCreateSignature.Signer.TokenNotAvailable: Token  not available

Veendu, et turvaserveri haldusliideses menüüs „Management“ -> „Keys and Certificates“ on Token ja selle all olev Key rida valgel taustal.

Vajadusel tuleb token ja või võtmed uuesti genereerida vastavalt turvaserveri kasutusjuhendile.

50. Server.ServerProxy.OutdatedGlobalConf: Global configuration is expired

Variandid, et kas sel hetkel ei saadud keskserveriga ühendust või ei saadud allaletud faili Ubuntu failisüsteemi turvaserveris edukalt salvestatud.

Veendu, et turvaserveri ketas pole täis: kontrolli logisid ega mingeid vigu ei hakka silma vea ilmnemise ajahetke ümber. Logis peab korras oleku puhul olema iga minut korduvad ühesugused read eduka allalaadimise kohta.

$ less /var/log/xroad/configuration_client.log

 Võib proovida ka teenuse taaskäivitamist käsuga

$ sudo service xroad-signer restart

51. Turvaserveri logisse ei teki uuemaid proxy.log kandeid

Juhul kui turvaserveri versioon on 6.18.0-1 või uuem, siis on tõenäoliselt põhjuseks logbacki klassi XRoadSizeBasedRollingPolicy eemaldamine turvaserverist ning vastav seadistusfail on jäänud uuenduse käigus üle kirjutamata.

Sellisel juhul ava turvaserveris /etc/xroad/conf.d/proxy-logback.xml fail ja asenda järgnevad read:

<rollingPolicy class="ee.ria.xroad.common.XRoadSizeBasedRollingPolicy">
    <fileNamePattern>${logOutputPath}/proxy.%i.log.zip</fileNamePattern>
</rollingPolicy>
<triggeringPolicy class="ch.qos.logback.core.rolling.SizeBasedTriggeringPolicy">
    <maxFileSize>100MB</maxFileSize>
</triggeringPolicy>

järgnevate ridadega:

<rollingPolicy class="ch.qos.logback.core.rolling.SizeAndTimeBasedRollingPolicy">
    <fileNamePattern>${logOutputPath}/proxy.%d{yyyy-MM-dd}.%i.log.zip</fileNamePattern>
    <maxFileSize>100MB</maxFileSize>
</rollingPolicy>

52. X-tee turvaserveri tarkvara uuendamine 6.16 pealt 6.18.0 versioonile.

Repositooriumi vahetamise ja turvaserveri tarkvara uuendamise õige järjekord:

1. Muuda APT source listi /etc/apt/sources.list.d/xroad.list
1.1 Lisa xroad.list-i uus allikas: deb http://x-tee.ee/packages/live/xroad trusty main
1.2 Eemalda read, mis sisaldavad http://x-road.eu/ allikat.

2. Jõusta tehtud muudatused

$ sudo apt-get update

3. Uuendada esmalt PostgreSQL (PostgreSQL v9.4 kasutajad kasutavad „postgresql-9.4“ käsu lõpus)

$ sudo apt-get install postgresql-9.3 --only-upgrade

4. Paigalda uuem tarkvara:

$ sudo apt-get install xroad-securityserver-ee

5. Soovitav on uuendada ka ülejäänud tarkvara:

$ sudo apt-get dist-upgrade

Vaata ka Turveserveri installeerimise juhend

53. soap:Server: The given SOAPAction ... does not match an operation

Client.InvalidSoapAction: Malformed SOAPAction header

Alates 6.18.0 X-tee versioonist kontrollib ja edastab turvaserver rakenduse poolt talle edastatud HTTP päringu päises olevat SOAPAction välja edasi teise osapoole turvaserverile. Varasemates versioonides eemaldati SOAPAction väli enne edastamist HTTP päisest. Seega nüüd on oluline antud väli korrektselt kirjeldada vastavalt standardile punkt 6.1.1
Juhime tähelepanu, et SOAPAction välja väärtus on kas tühi või ümbritsetud jutumärkidega.
Kui üle X-tee päritava teenuse rakendus ei nõua SOAPAction välja, siis lihtsam lahendus on eemaldada enda päringut tegevas rakenduses üldse HTTP POST päringu päisest SOAPAction väli. Varuvariandina võib ka kaaluda turvaserveri uuendamiseelse seisu taastamist varukoopiast.

54. Client not found in global configuration.

Antud veateadet kuvatakse, kui alamsüsteemi omav asutus ($memberCode) ei ole X-teega liitunud ja keskserveris kirjeldatud.

X-tee test- ja toodangukeskkonnaga liitumiseks peab asutus ennast RIHA's kirjeldama. Selle tulemusena lisab RIA kasutajatugi selle asutuse X-tee test- ja toodangukeskkonna keskserverisse.

X-tee arenduskeskkonnaga liitumiseks ei pea asutust RIHA's kirjeldama ning piisab, kui edastate oma asutuse info aadressile: [email protected].

55. Fault Code: Server.ClientProxy.NetworkError ... Name or service not known.

No address associated with hostname

Veenduge, et Teie turvaserver on X-teel registreeritud õige välise aadressiga. Hetkel registreeritud aadressi saate teada, pöördudes RIA kasutajatoe poole: [email protected]. Turvaserveri aadressi muutmine käib RIA kasutajatoe kaudu ning selleks ei pea auth sertifikaati uuesti registreerima.

Lisaks võivad mõned vead ja lahendused olla raporteeritud ühisarenduse keskkonnas:

https://x-road.global/resources

Parandusettepanekute ja vearaportitega palun pöörduge [email protected].