ALT Linux Bugzilla – #43863

Это похоже на проблему состояния гонок. Судя по всему, служба kdc зависает на ipv6 адресе и не успевает осовбодить ресурс до старта после перезапуска:
 Failed to bind to ipv6:2a0c:88c0:2:2000:f4d0:48ff:fee0:4a4f:389 - NT_STATUS_ADDRESS_NOT_ASSOCIATED

Ловить эту багу сложно, поскольку, как и указано: "Данная ошибка плавающая, происходит не всегда."

Прошу потестировть таску с новым релизом, который сейчас находится на тестировании в p10:
#306744 EPERM #2 p10 libtdb.git=1.4.6-alt1 libtevent.git=0.12.0-alt1 libldb.git=2.5.2-alt1 samba.git=4.16.5-alt1 sssd.git=2.7.4-alt1 admc.git=0.10.0-alt3 freeipa.git=4.9.10-alt0.p10.1

(Ответ для Evgeny Sinelnikov на комментарий #1)
> Прошу потестировть таску с новым релизом, который сейчас находится на
> тестировании в p10:
> #306744 EPERM #2 p10 libtdb.git=1.4.6-alt1 libtevent.git=0.12.0-alt1
> libldb.git=2.5.2-alt1 samba.git=4.16.5-alt1 sssd.git=2.7.4-alt1
> admc.git=0.10.0-alt3 freeipa.git=4.9.10-alt0.p10.1

Если ошибка воспроизводится в версии samba-dc-4.15.9-alt1, то обновление до версии samba-dc-4.16.5-alt1 не помогает, проблема остаётся.

При разворачивании домена с версией samba-dc-4.16.5-alt1 данную ошибку не обнаружил.

samba-4.19.4-alt1
samba-4.19.5-alt2 (из задания 343787)

Проблема не воспроизводится.

Переоткрываю, так как стало воспроизводиться.

Версия пакета:
samba-dc-4.20.7-alt1.x86_64

Стенды:

Alt Server 11.0 minimal - обновлен до sisyphys

Шаги воспроизведения:

1. Сетевые настройки
	Добавить запись DNS запись в /etc/resolvconf.conf
	name_servers='127.0.0.1 8.8.8.8'

	Изменить hostname на FQDN
	# hostnamectl set-hostname dc1.test.alt

2. Установить пакет task-samba-dc
	# apt-get install task-samba-dc

3. Очистить конфигурации Samba

# rm -f /etc/samba/smb.conf
# rm -rf /var/lib/samba
# rm -rf /var/cache/samba
# mkdir -p /var/lib/samba/sysvol

4. Остановить конфликтующие службы:
	# for service in smb nmb krb5kdc slapd bind; do chkconfig $service off; service $service stop; done

5. Создать домен:
	# samba-tool domain provision --realm=test.alt --domain=test --adminpass='Pa$$word' --dns-backend=SAMBA_INTERNAL --option="dns forwarder=8.8.8.8" --server-role=dc

6. Настройка Kerberos
	# cp /var/lib/samba/private/krb5.conf /etc/krb5.conf

7. Запустить сервис
	# systemctl enable --now samba

8. Перезагрузить стенд

Результат: Сервис не стартует после перезагрузки (воспроизводится каждый раз)

Ожидаемый результат: Успешный запуск сервиса

Дополнительно:
Версия в p10: samba-dc-4.19.9-alt4.x86_64
Проверено на Alt Server 10.4 office (настройка согласно документации Альт Сервер 10.4) - не воспроизводится
Проверено на Alt Server 10.4 minimal - воспроизводится

Отличие стендов заключается в разных сетевых подсистемах:
Server 10.4 minimal - etcnet
Server 11.0 minimal (sysiphus) - etcnet
Server 10.4 office - systemd-networkd (с systemd-resolved)

etcnet с коробки получает ipv6, а systemd-networkd нет

Created attachment 17843 [details]
Лог journalctl

Если добавить в `/etc/samba/smb.conf`:

    interfaces = <ipv4_dc/dc2> 127.0.0.1
    bind interfaces only = yes

или, что эквивалентно, при выполнении `samba-tool domain provision/join`:

    --option="interfaces = <ipv4_dc/dc2> 127.0.0.1"
    --option="bind interfaces only = yes"

то попытка привязки к IPv6 не происходит, и, следовательно, ошибка не воспроизводится.

См. https://wiki.samba.org/index.php/Configure_Samba_to_Bind_to_Specific_Interfaces


Не уверен, стоит ли считать это корректным решением проблемы, или же это workaround.

Однако при вышеупомянутом workaround также может требоваться отключать IPv6 на Windows при вводе машин Windows в домен.


Скорее всего, это связано с тем, что встроенный DNS Samba DC отдаёт свой IPv6-адрес по DNS-запросу AAAA, даже если на нём не слушает (обнаружено при проверке ошибки https://bugzilla.altlinux.org/show_bug.cgi?id=55254#c9).


Т. е. итого (скорее всего) получается так:

- Windows делает DNS-запрос samba.testdomain AAAA или аналогичный, получает IPv6.

- Отправляет на IPv6 дальнейшие DNS- или другие запросы, на что получает connection refused, или падение по долгому timeout (если вдруг на DC вообще отключили IPv6, например с помощью sysctl).

- Далее, попыток получения IPv4, он, похоже, не выполняет, и сразу падает с ошибкой вида "Не удалось найти указанный домен".