Anmeldung im WebGui ungültig, wenn eine PVE im Cluster ein Problem hat

[nightfever77]

Ich habe einen Cluster mit zwei PVEs (keine Redundanz).

Gestern hatte ich das Thema, dass die Container und VMs der zweiten PVE auf einmal nicht mehr erreichbar waren. Ich konnte mich auch nicht mehr übers Webinterface am Rechenzentrum anmelden, da es immer meldete, dass die Logindaten ungültig sind.
Per CLI direkt am Host konnte ich mich allerdings noch einloggen und rebooten, danach war alles wieder okay.

Das ist doch nicht normal, dass dann der WebGui-Login nicht mehr akzeptiert wird, oder? Gibt es da was, was ich kontrollieren/umstellen kann, bevor/wenn das wieder passiert?

 

[sterzy]

Hallo,

gibt es eventuell mehr Infos zu den gescheiterten Logins im Journal (journalctl)? Außerdem wäre es praktisch zu wissen welche Cookies gesetzt waren, wenn das noch nachvollziehbar ist.

 

[nightfever77]

journalctl habe ich gestern nicht geprüft. Cookies kann ich nicht beantworten, nur soviel, dass ich es auf zwei PCs versucht habe.

Gegenfrage zum Verständnis: Alles was ich im Rechenzentrum einstelle, wie z.B. 2FA für den root user, wird das auf beiden Hosts im Cluster gespeichert? Ich gehe mal von JA aus.
Als die eine PVE gestern nicht mehr wollte, konnte ich das WebGui über beide Host-IPs erreichen, aber bei keiner der beiden anmelden.

 

[sterzy]

journalctl habe ich gestern nicht geprüft. Cookies kann ich nicht beantworten, nur soviel, dass ich es auf zwei PCs versucht habe.

Das Journal speichert das Also, wenn der Zeitraum noch ca. bekannt ist einfach dorthin scrollen oder z.B. mit --from und --since einschränken.

Als die eine PVE gestern nicht mehr wollte, konnte ich das WebGui über beide Host-IPs erreichen, aber bei keiner der beiden anmelden.

Ja so weit ich das gerade im Kopf hab, sollten alle relevanten Config-Files hier unter /etc/pve liegen. Das sollte bei einem funktionalen Cluster auf allen Nodes vorhanden und ident sein.

 

[nightfever77]

Oct 14 10:52:48 pve1 pvedaemon[301291]: <root@pam> successful auth for user 'root@pam'
Oct 14 10:52:49 pve1 pvedaemon[309267]: authentication failure; rhost=::ffff:10.0.1.3 user=root@pam msg=unable to open file '/etc/pve/priv/tfa.cfg.tmp.309267>

 

[sterzy]

Oct 14 10:52:49 pve1 pvedaemon[309267]: authentication failure; rhost=::ffff:10.0.1.3 user=root@pam msg=unable to open file '/etc/pve/priv/tfa.cfg.tmp.309267>

Jup dann war /etc/pve an der stelle nicht korrekt am Laufen bzw. evtl. nur read-only gemountet. In dem Fall ist ein Login über unsere API nicht möglich, über PAM (CLI) aber schon. Das lässt sich an der Stelle nur schwer verhindern, wenn TFA verwendet werden soll.