ClearPass Cluster Issue

cluster ထဲမှာ CPPM ၂ ခုရှိတယ်။ CPPM01 က publisher CPPM02 က subscriber (standby publisher) config backup လုပ်ပီးတော့ restore လုပ်လိုက်တာ CPPM01 က standalone publisher ဖြစ်သွားတယ်။ CPPM02 က auto promote လုပ်ပြီး publisher ဖြစ်သွားတယ်။ CPPM01 မှာ restore ထပ်လုပ်တော့ CPPM02 ကို node disable အနေနဲ့ပဲ မြင်နေရတယ်။ CPPM02 ကို restart လုပ်ကြည့်လိုက်တော့ CPPM02 ကနေ ကြည့်ရင် CPPM02 က publisher, CPPM01 က subscriber အနေနဲ့ မြင်ရတယ်။ CPPM01 ဘက်မှာကျတော့ CPPM01 က subscriber, CPPM02 က node disable အနေနဲ့ မြင်ရတယ်။ CPPM01 ကို restart လုပ်တာလဲ အဆင်မ‌ပြေဘူး။ CPPM02 ဘက်ကနေ CPPM01 ကို publisher အဖြစ် promote လုပ်လိုက်တယ်။ ပီးတော့ CPPM02 ကို drop subscriber လုပ်လိုက်တယ်။ အဲဒီတော့ CPPM01 နဲ့ CPPM02 က သီးခြားပြန်ဖြစ်သွားတယ်။ CPPM01 မှာ config ကို restore လုပ်ပြီးတော့ CPPM02 ကို ပြန်းပီးတော့ cluster join လုပ်လိုက်တယ်။

ဖတ်ရင်းနဲ့ ရှုပ်ကုန်ဘီလားမသိဘူး။ ရှုပ်နေတယ်ဆိုရင်တော့ ကျွန်တော်စာရေးတာ မကောင်းလို့ဖြစ်မယ်။ ကျန်ခဲ့တဲ့ option တစ်ခုကတော့ Restore cluster server/node entries from backup ဆိုတာကို ရွေးခဲ့ဖို့ကျန်သွားလို့ပါပဲ။

cppm-restore

 

 

 

Advertisements

clearpass data backup and restore

clearpass မှာ config ကို backup လုပ်ပြီး restore လုပ်တာ option တစ်ခုကို ရွေးဖို့မေ့သွားတာနဲ့ cluster က ဒုက္ခကို ပေးလိုက်တာ မနည်းရှင်းယူရတယ်။ နောက်အားဘီဆိုမ တဆင့်ချင်းဘယ်လိုလုပ်ရတယ်ဆိုတာကို ရေးပါဦးမယ်။

Tacacs with CPPM and Palo Alto

ဒီနေ့ clearpass policy manger နဲ့ palo alto ကို tacacs integration လုပ်ကြည့်တာအဆင်ပြေတယ်။ CPPM 6.6.0 နဲ့ palo alto 7.1.0
palo alto ကို login ဝင်လိုက်ရင် CPPM မှာ ရှိတဲ့ local user ဒါမမဟုတ် AD မှာ ရှိတဲ့ login account ကို သုံးပီးတော့ authentication လုပ်တယ်။ ခုစမ်းထားတာကတော့ local user ကို သုံးထားပါတယ်။ ဘာလို့စမ်းဖြစ်လဲဆိုတော့ customer ဆီမှာ သွားလုပ်တာ အဆင်မပြေလို့ VM မှာ စမ်းကြည့်ဖြစ်သွားတာ။ ခုတော့ CPPM ကို 6.6.7 ကို update လုပ်နေတယ်။ အဆင်ပြေပါမလားတော့ မသိဘူး။ ကျွန်တော့် laptop က hardware နိမ့်တော့ အဆင်ပြေမပြေ မသေချာဘူး။ ရတယ်ဆိုရင်တော့ ဘယ်လိုလုပ်လဲဆိုတာ ထပ်ရေးပါဦးမယ်။

change faulty CPPM from cluster

ClearPass ဆိုတာက Aruba ကနေထုတ်တဲ့ Radius server၊ အလုပ်ထဲမှာ သုံးလို့ အဲဒီအကြောင်းကို လေ့လာခွင့်ရခဲ့တယ်။ အဖွဲ့အစည်းတစ်ခုအတွက် clearpass တလုံးထက်ပိုပြီးသုံးဖို့လိုတယ်ဆိုရင် သူတို့အခေါ်အရ cluster လုပ်လိုက်တယ်။ အဲဒီမှာက publisher တစ်ခုပဲရှိတယ်။ ပြီးရင် ကျန်တဲ့ဟာတွေက subscriber တွေ။ သဘောကတော့ publisher က master ပဲ။ တစ်ခုခုပြောင်းချင်ရင် publisher မှာပဲ ပြောင်းရတယ်။ အဲဒီပြောင်းလိုက်တာက သူ့အောက်မှာရှိတဲ့ subscriber တွေဆီကို sync လုပ်သွားတယ်။ တစ်နေ့က လိုအပ်ချက်အရ publisher မှာ hardware problem တစ်ခုဖြစ်တော့ အပိုတစ်ခုနဲ့ ခဏလဲပေးရတယ်။ ပြီးတော့မ vendor ကို ဆက်သွယ်ပြီးတော့ hardware လဲတပ်၊ ပြီးတော့မ ပြန်လဲပေးရတယ်။ အဲလိုလုပ်ဖို့ အောက်ကအဆင့်အတိုင်းလုပ်ပေးဖို့လိုပါတယ်။

  1. remove virtual IP address setting (if have)
  2. off the standby publisher setting
  3. manual promote to other cppm (old cppm will become subscriber)
  4. drop the old cppm from the cluster
  5. add the new cppm to the cluster
  6. manual promote new cppm as publisher
  7. configure the virtual ip address
  8. on the standby publisher

အဲဒါတွေလုပ်ပြီးရင် အရင်အတိုင်းပဲ ပြန်ဖြစ်သွားပါဘီ။ configure လုပ်ထားတဲ့ setting တွေမှန်မမှန်ပြန်စစ်ကြည့်ဖို့တော့လိုပါမယ်။