ファイルサーバーのレスポンスが悪い

Question

ファイルサーバーのレスポンスが悪い

ファイルサーバーとしてsambaを使用しているのですが
最近になってファイルサーバーでフォルダの移動や、ファイルを開くのに
時間がかかるようになってしまいました。
そこで調べていると「socket options = TCP_NODELAY」を追加して早くなったと
みたのですが「socket options = TCP_NODELAY」はsmb.confの [global] のところに追加
すればよいのでしょうか。特に指定はありませんか？

何か他に原因、解決方法などわかる方がいらっしゃいましたら教えてください。

samba4.1.19
CentOS release 6.9

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
【追記】

現状
service samba4 restart（/etc/init.d/samba4 restart）
で再起動ができることが確認できました。
ですが、smb.confのglobalの一番下にsocket options = TCP_NODELAYを追加して保存したところ
/etc/init.d/samba4 restartをすると
samba4 を停止中 〔失敗〕
samba4 を起動中 〔 OK 〕
となってしまいます。
これは再起動できてなく、confも再読み込みされていないと思います。
TCP_NODELAY追加前は問題なく再起動されていたのですが・・・

socket options = TCP_NODELAY
[netlogon]
なにが原因なのでしょうか。

---

【再追記】
上記の追記に伴ってかわわかりませんが
アクティブディレクトリにもつながらなくなっています。
ADサーバーとして使っているPCはVistaのビジネスのものなので
このメッセージはあまり意味がないような気もします

/etc/init.d/samba4 restartを行い
samba4 を停止中 〔失敗〕
samba4 を起動中 〔 OK 〕
とはなりますがこれを行うと
アクティブディレクトリにつながらない現象が解決します。

また、ADサーバーのイベントログには
5719 NETLOGON
次の理由のため、このコンピュータはドメイン ＊＊＊ のドメイン コントローラの
セキュリティで保護されたセッションをセットアップできませんでした:
%現在、ログオン要求を処理できるログオン サーバーはありません。
これにより、認証の問題が発生する可能性があります。このコン
ピュータがネットワークに接続されていることを確認してください。
問題が解決されない場合は、ドメイン管理者に問い合わせてください。

1129 GroupPolicy
ドメインコントローラーへのネットワーク接続が存在しないため、グループポリシーの処理に失敗しました。これは一時的な状態である可能性があります。コンピューターがドメインコントローラーに接続され、グループポリシーが正しく処理されると成功のメッセージが生成されます。数時間経ってもメッセージが表示されない場合は、管理者に連絡してください。

1067 TerminalServices-RemoteConnectionManager
ターミナル サーバーは、サーバー認証に使用される 'TERMSRV' サービス プリンシパル名を登録できません。次のエラーが発生しました。 rpc サーバーを利用できません。

の３つが頻繁にでている状況です。

パスワードを変更しようとするとこれこれが出て変更できません!

なにかこれも関係あるのでしょうか。

Answer 1

globalセクションに追記するのが正しいです。

何か他に原因、解決方法などわかる方がいらっしゃいましたら教えてください。

最近遅くなったということは、以前までは正常に動作していたということですよね?
そうであれば、環境依存の可能性が高く、他の方でも原因を探るのは難しいと思っています。

何かしらのトリガがあると思うのですが、思い当たる節ありますか?
ネットワーク環境、OSのアップデート、端末環境の更新などなど・・・

Comments

[MELCK]

ありがとう御座います。
とりあえず追記してみようと思います。
追記後なのですがsambaの再起動が必要になると思います。
sudo service smbd restartか/etc/init.d/smbd restart
で再起動はできると思うのですがこの際なにか影響はありますでしょうか。
ファイルサーバーにつないでいるクライアントが一時的に切断される等でしょうか？

windowsアップデートとyum updateは毎月行ってはいますがその他は特に
環境の変化とかはないんですよね・・・
前から少し遅かったのですが最近またちょっと遅くなったみたいで・・・

[over]

再起動時にsambaのサービスが一時的に停止するのでセッションは切れます。
> windowsアップデート
sambaはWindowsと連携していますか?
> yum update
これによってsamba関連のモジュールがアップデートされたりしていないでしょうか?
yum.logを見てアップデートされたパッケージを確認してみては如何でしょうか?

> 前から少し遅かったのですが最近またちょっと遅くなったみたいで
まえから兆候がでていたのであれば、ソケットオプションは有効かもしれません。
ただし、ソケットオプションはパケットの状況を確認した上で設定しないと悪化する恐れがあります。
ただ単にサーバ ハードウェアリソース不足も疑われますのでtopコマンドでリソース使用状況を確認してみるのもいいと思います。

[MELCK]

ありがとうございます。
ちょっと確認してみようと思います。

ちなみになのですがTCP_NODELAY　これってどういった設定なのでしょうか。
そもそも何の為のＤＥＬＡＹなのでしょうか。

[over]

以下で詳しく説明されています。
https://thinkit.co.jp/article/754/1?page=0%2C2

[MELCK]

わざわざすみません。ありがとうございます。
確認してきます。

[over]

ちょっと調べてみました。samba4における該当パラメータのデフォルト値は「TCP_NODELAY」です。従って設定しても速度改善は見込めないでしょう。
それはさておき、サービス再起動コマンドにおける障害は該当パラメータが起因していることは確認されましたか?該当設定をコメントアウトして再起動し、挙動を確認してみては如何でしょうか?もともとおかしかった可能性もあります。また再起動後に「service samba4 status」コマンドを実行してサービスが正常に起動していることを確認してみては如何でしょうか?
停止に失敗しているのではなく、既に停止していたという可能性があります。
併せてログも確認しましょう。

速度改善については、クライアント -サーバ間で使用しているプロトコル(smbX)、クライアントの認証方式(NTLM等)も関わってくるので、こちらを切り口として調べるのも良いかもしれません。

一番良いのはやはりパケットキャプチャなのですが・・・敷居が高いですかね・・・

[MELCK]

ご回答ありがとう御座います。
smb.confに記載がなくてもTCP_NODELAYがデフォルトではいっているということですね。
なるほど・・・なら改善はされないですね。
TCP_NODELAYの記載を消して再起動をかけたのですがやはり停止に失敗してしまいます。
起動はOKでファイルサーバーも問題なくつかえてはいるのですが・・・
「service samba4 status」確認してみたのですがこのコマンドだとsambaのバージョンと
各ファイルのパスが表示されただけでした。
ログのほうも確認してみようと思います。

[over]

***本作業は運用影響があるので、営業時間外に行うことが望ましいです。***
まずは、tail -f "samba4のログ"でログを監視状態にします。
別コンソールから、service samba4 stop を実行して、ログに何が出力されるか確認されていみては如何でしょうか?

[MELCK]

お世話になってます。
samba停めてログを見る方法試してみようと思います。ありがとう御座います。

ちょっとsamba.logをみてみたのですが、
INTERNAL ERROR: Signal 11 in pid 37777 (4.1.19)
Please read the Trouble-Shooting section of the Samba HOWTO
やpanicとかがチラホラあってやっぱりなにかしらおかしいのかもしれないです・・・
知識がないのでネットで調べつつでまだなんのエラーでpanicがどういう意味で・・・とかがわかってないのですがこれからちょっと調べてみようと思います。

[MELCK]

再起動を行うとログに以下がでます。

samba version 4.1.19 started.
Copyright Andrew Tridgell and the Samba Team 1992-2013
[2017/04/24 16:50:20.528490, 0] ../source4/smbd/server.c:488(binary_smbd_main)
samba: using 'standard' process model
[2017/04/24 16:50:20.543870, 0] ../lib/util/become_daemon.c:136(daemon_ready)
[2017/04/24 16:50:20.899438, 0] ../lib/util/become_daemon.c:136(daemon_ready)
STATUS=daemon 'smbd' finished starting up and ready to serve connectionsFailed to fetch record!

[over]

対象のサーバはADのメンバサーバということでしょうか?
そうであれば、ADに接続できずにエラーとなっているようです。
> 'smbd' finished starting up and ready to serve connectionsFailed to fetch record!

そうなると、service samba4 restart で停止が失敗していると表記されているのは、起動でOKとなったあとに、上記にあるエラーで停止してしまい、「既に停止しているから停止できない」ということだと思います。
> 「service samba4 status」確認してみたのですがこのコマンドだとsambaのバージョンと
各ファイルのパスが表示されただけでした。

上記は既にサービスが停止してしまい、プロセスのパスが表示されているだけではないでしょうか?

この状態でsambaが使用できるはずもなく、現在使用できているのが異常な気がします。
使用している共有サービスは本当に該当サーバのsamba4なのでしょうか?

また、Active Directoryと接続できなくなったトリガは心あたりありますか?
なければ、セキュリティチャネルが破損している可能性があります。
Active Directoryサーバのイベントビューアでsamba4サーバ セキュリティチャネル破損関連のログが出力されているか確認されてみては如何でしょうか。

セキュリティチャネルが破損している場合、samba4 Windows連携をどのように行っているか不明なので一概には言えませんが、ドメイン再参加をすれば解消されるような気がします。

[MELCK]

sambaが入っているファイルサーバーとは別にAD用のサーバーがあります。
＞「既に停止しているから停止できない」
私もそれを考えたのですがsamba４のログを監視状態にし
再起動コマンドを入れると何かしらのログがのこるし、ファイルサーバーは通常通り使えているので該当のsambaであることは間違いないと思います。

＞Active Directoryと接続できなくなったトリガは心あたりありますか?
つい最近AD用のサーバーを数年ぶりにシャットダウンしたくらいですかね・・・
RDPでみているのですがシャットダウンして以来つながるスピードが極端に遅くなったり
パスワードの有効期限が～みたいなエラーがでたり（セーフモードにして対応）
しましたがそれ以外は特にさわってもいないです。
停止に失敗起動OKにもかかわらず、再起動コマンドをいれるとつながらないADもいつもどおりに戻るのもなぞすぎます・・・

ＡＤ用サーバーのイベントログってことですよね？
セキュリティチャネル関連のエラーが出ていないか確認してみます。

なんども返信を頂いてほんとにありがとう御座います。
助かります＞＜

[over]

> 再起動コマンドを入れると何かしらのログがのこるし、
再起動すればログが出力されるのは当然だと思います。
問題なのは、出力されたログの内容です。

私もsamba４の実績が少ないの、的確ではないかもしれませんが、下記で「OK」の表示が出力されないのはおかしいと思います。
> 「service samba4 status」確認してみたのですがこのコマンドだとsambaのバージョンと
各ファイルのパスが表示されただけでした。

> RDPでみているのですがシャットダウンして以来つながるスピードが極端に遅くなったり
パスワードの有効期限が～みたいなエラーがでたり（セーフモードにして対応）
これはActive Directoryサーバの事象でしょうか?
であればActive Directoryにも障害発生しているような気がします。

> 停止に失敗起動OKにもかかわらず、再起動コマンドをいれるとつながらないADもいつもどおりに戻るのもなぞすぎます・・・

これはsamba4再起動コマンドを実施した場合、Active Directoryサーバの挙動が俊敏になるとのことでしょうか?

samba4はメンバサーバですか?もしかしてスレーブドメインコントローラになっていたりしませんか?

[MELCK]

サーバーが他にないので間違いはないと思います・・・
Active Directoryサーバの事象です。
ＲＤＰ接続元のパソコンを変えても同じ現象なので接続先（ＡＤサーバー）側なのも間違えないと思います。
ＡＤ側に障害は考えていませんでした。ちょっと疑っていかないとですね・・・

ＡＤの管理画面が開けずエラーになる事象のときに
samba4再起動コマンドを実施するといつもどおり管理画面が開けるようになります。

[over]

> ADサーバーとして使っているPCはVistaのビジネスのもの
Active DirectoryはWindows Server OSでしか提供していないと思いますが、何か勘違いされていませんか?

出力されているエラーについてですが、こちらも本当にActive Directoryサーバが出力されているものでしょうか(Vistaと言われているものが出力していることを言われているのでは?と疑っています)?

もし、本当にActive Directoryサーバが出力されているのであれば、Active Directoryサーバがドメインリソースを探索できないため、Active Directoryとしての機能をはたしていないように見受けられます。

※ただし、Windowsの世界にはNetBIOSというブロードキャスト範囲であれば名前解決がある程度見込め、ドメインコントローラのサーバとドメイン参加端末が同一セグメントに存在する場合、ある程度正常に動作しているように見えてしまう。

まず、Active Directoryのドメインコントローラの機能を持っているサーバを確認されては如何でしょうか?
Active Directoryサーバの管理ツールに「Active Directory ユーザとコンピューター」という管理ツールがあります。
こちらの左ペイン「Domain Contorollers」以下に表示されるPCがドメインコントローラを担っています。
ドメインコントローラ、およびドメイン参加端末は、このドメインコントローラと紐づけしてあるActive Directory DNS(特殊な環境でなければ、ドメインコントローラと同一マシンにインストールされる)に対して名前解決できる構成(通常であればIPv4プロパティの「優先DNSサーバ、代替DNSサーバ」にActive Directory DNSが構築してあるサーバIPを指定)になっていないと正常なドメイン運用ができません。

[MELCK]

すみませんたぶん勘違いをしていました。
Active Directory ユーザとコンピューターはVistaのPCから見ていて
Domain ContorollersにはSambaが入っているファイルサーバーのみ表示がされていました。
Active Directory ユーザとコンピューターをVistaのPCで開いてみれるのはADに参加しているだけでこれがADサーバーではないということですよね。　無知で申し訳ないです。

イベントログですがおっしゃるとおりでVistaででているものですので関係なさそうですね。
sambaのはいっているファイルサーバーはLinuxOSしかはいってないみたいなのですが
sambaの機能？でADサーバーとしても使われているということなんでしょうかね・・・

[over]

構築を担当された方はいらっしゃらないのでしょうか?

> Domain ContorollersにはSambaが入っているファイルサーバーのみ表示がされていました。
だとすると、samba自体がドメインコントローラの役割を担っており、他Windows Server系のドメインコントローラはないということですね。
また、samba4単体では、Active Directory管理ツールを提供していないため、Active Directory操作用の端末としてVistaに該当ツールを導入して実現しているということでしょう。

> イベントログですがおっしゃるとおりでVistaででているものですので関係なさそうですね。
samba4とWindowsOSの親和性が完全ではないため、ある程度のエラーログは出力されるとは思いますが、現在正常に動作していないことも考えると考察対象になると思います。
ログがいつから出力されていたかを確認できれば(WindowsクライアントOSのログ保存期間は短いので望み薄ですが・・・)トリガが明らかになるかもしれません。

[MELCK]

構築した人間がもういなく関係した人間もいない状態なんですよね・・・

望みをかけてVistaのログを漁ってみようと思います。
Vista側のユーザーパスワードの期限切れやパスワード変更ができない不具合から
認証エラーがでていることなどからVista側のせいなきもしなくはないので調べてみようと思います。

[over]

共有ファイルに接続している(接続が遅いといわれている)クライアント群は全てVistaですか?
そうでない場合、Vistaには問題ないと思います。
問題なのはsamba4だと思います。
samba4のログを確認されるべきかと思います。

[MELCK]

いえ、ADで使っているVistaのPC以外はすべてWin7を使用しております。

やはり原因はsamba側なのでしょうか。
samba.logを覗くと３０分おきくらいに下記の２つが大量にでていました。
これを元に調べてみようと思います。
・../source4/dsdb/dns/dns_update.c:294: Failed DNS update - NT_STATUS_IO_TIMEOUT
・create_connection_session_info failed: NT_STATUS_ACCESS_DENIED

[MELCK]

と思ったら実は1年前くらいからでっぱなしみたいで調子悪くなったのは最近なので
直接関係はなさそうです・・・

[over]

> create_connection_session_info failed
こちらは、ファイル共有にアクセスする際のntlm認証がsambaとクライアント間で食い違っているため出力されている可能性があります。
該当ログをtail -fで監視状態にして、クライアントOSからファイル共有に接続し、該当ログがリアルタイムに出力されるか確認してみては如何でしょうか?
もし、出力されるのであれば、サーバ側でntlm認証関連のパラメータを追記してみるのも良いと思います。(samba4 ntlm で検索すればご期待されているサイトが見つかるはず)

> Failed DNS update
こちらはWindowsでいうActive Directory DNSと同等の機能を持ったものに接続できない旨が記録されています。
sambaはパッケージングされたDNSを参照していますか?それとも外部DNSに頼っているかわかりますか?
恐らく、管理用VistaにDNS管理ツールも導入されているのではないでしょうか?
(Vistaはsamba Active Directory管理用として用意されているように見受けられ、同様にDNS管理ツールも導入されているのでは?という推測です)
もし、導入されているのであれば、以前、接続した履歴が残っているかもしれません。
履歴が残っているようであれば、接続先のホスト名 or IPアドレスがどこを参照しているか?また正常に接続でき、DNSゾーンおよびレコードが参照できるか?を確認してみては如何でしょうか?

また、samba4のldapが停止している可能性も考えられます。

messages、およびldapのログも解決への道標になるかもです。

[MELCK]

＞該当ログをtail -fで監視状態にして、クライアントOSからファイル共有に接続し、該当ログがリアルタイムに出力されるか確認してみては如何でしょうか?
これはauditログのことでしょうか。
auditログはリアルタイムで記録がされることは確認できました。
ntlmに関しては検索して調べてからにします。

DNSに間してですがsmb.confのdns forwarderのところにうちとは違うアドレスが載っていたので
外部になると思います。
一度みてるのかってくらいでビックリですが、おっしゃるとおりでVistaPCにDNSの管理ツールがありました。ですが履歴は残っておらず、DNS管理ツールを開くとまず「DNSサーバーに接続」というポップアップがでてきて、このコンピュータと次のコンピューターとを選ぶ画面が出てきます。
このコンピュータで進めてもサーバーは利用できません。追加しますか？とでてきます。
messages、ldapについてはこれから見てみようと思います。

また、Vistaの方のイベントログのエラーはつい最近からでてるみたいでした。

[over]

> これはauditログのことでしょうか。
「create_connection_session_info failed」が出力されているログを指しています。

> dns forwarderのところにうちとは違うアドレスが載っていたので外部になると思います。
これは、ご質問者様ドメイン(例えばexample.com)宛以外のドメイン(例えばwww.google.com)の名前解決依頼があった場合、どこに問い合わせするの?っていう設定値です。

>「DNSサーバーに接続」というポップアップがでてきて、このコンピュータと次のコンピューターとを選ぶ画面が出てきます。
これ、試しにsamba4のサーバを指定したらどうなるでしょう?

今更で申し訳ないのですが、Vistaマシン、Windows7マシンは全て同じドメインに参加しています?
また、そのドメインはsamba4で設定しているドメインと同一ですか?
加えて、各マシン(Vista,7)のDNSサーバの指定はsamba4サーバを指定していますか?

[MELCK]

create_connection_session_info failedが出力されているのはsamba.logでそれには接続してもでないのですが監視状態のままにしてみてると NT_STATUS_IO_TIMEOUTだったりNT_STATUS_ACCESS_DENIEDがでる感じです。
dns forwarderはまた別物だったというわけですね。。

＞これ、試しにsamba4のサーバを指定したらどうなるでしょう?
これなのですがADの管理画面が開けない状態でsambaがはいっているファイルサーバーを指定しても
「リモート プロシージャ コールが取り消されました」と表示されなにもみれなかったのですが
/etc/init.d/samba4 restartを行い、
samba4　を停止中　〔失敗〕
samba4　を起動中　〔 OK 〕　
の後ADの管理画面が表示されることを確認してからsambaがはいっているファイルサーバーを指定するとDNSマネージャ画面が開けることがわかりました。
これ以降の見方等がまったくわからないので解決へつながる望みをかけてコチラも調べてみようと思います。

ドメインですがwhoami /fqdnをWin７マシンでしたらドメインユーザーではないため・・・
VistaマシンではCN=＊＊＊＊CN=***DC=*DC=****
と出たので少なくともVistaとWin7は同じﾄﾞﾒｲﾝには参加していないみたいです。
すみませんsamba4で設定しているドメインの確認方法がわかりませんでした。
＞加えて、各マシン(Vista,7)のDNSサーバの指定はsamba4サーバを指定していますか?
これですがこれは７、Vistaでipconfig /allでDNSサーバーはべつのルーターになっていました。
DNSリレーを使ってるみたいです。

[over]

再起動のあとにDNSサーバに接続できるようになったとのことで、これが何かしらの原因で停止しているため、samba4が異常な行動を起こしている可能性が高いです。

>ドメインですがwhoami /fqdnをWin７マシンでしたらドメインユーザーではないため・・・VistaマシンではCN=＊＊＊＊CN=***DC=*DC=****と出たので

ここ、重要なのでちゃんと確認しましょう。
ドメインユーザでログインできなくとも、システムプロパティの「コンピューター名」タブから参加しているドメインが判明するはずです。

> samba4で設定しているドメインの確認方法がわかりませんでした。
smb.conf に記載されているはずです。

> ７、Vistaでipconfig /allでDNSサーバーはべつのルーターになっていました。

これは何故ルータと判別できたのでしょうか?
先にも記載したとおり、ドメイン参加端末は何れかの方法でActive Directory DNSの名前解決に頼る必要があります。
指定しているのは本当にルータのIPであればルータ側は参加ドメインの名前解決に対してActive Directory DNSにフォワーディングしているような設定になっている必要があります。

別にドメインのドメインコントローラが存在しているのではないでしょうか?

[MELCK]

再起動コマンドで停止が失敗になるので再起動できていないのではないかと思っているのですが
再起動するとADやDNSに接続できることをみると再起動できているのでしょうかね・・・

やはりWin7はドメイン参加していなく、Vistaはドメイン＊＊＊.localに参加していて
samba側の設定はworkgroupに＊＊＊　realmに＊＊＊.localとなっていました。

DNSサーバーとデフォウトゲートウェイが同じIPを表示していてこのIPはルーターだという資料が残っていました。TeratermでそのIPに接続して確認もできました。アライドのルータでした。

「echo %logonserver%」で確認したところVistaではファイルサーバーが出てきて
win７では自分のPC名が表示されました。

[over]

> 再起動コマンドで停止が失敗になるので再起動できていないのではないかと思っているのですが
起動後にいずれかのサービスが停止しているため、その"いずれかの"サービス停止失敗となっており「samba4 を停止中 〔失敗〕」と評価されているのは?と推察します。

Windows7はローカルで管理しているということで間違いないでしょうか?
だとすると、ファイル共有に初回接続を行う際、パスワードダイアログが表示されているのでしょうか?

いずれにせよ、DNSの問題を解決しないと正常に動作しなさそうです。
数点確認です。
・samba4サーバのresolv.confはローカルホスト参照としていますか?
・selinuxは無効にしていますか?
・(わかるのであれば)DNSはsamba4 パッケージングの内部DNSを使用していますか?
それともBindを別途インストールしていますか?
別途bindをインストールしている場合、bindは起動していますか?

bindがインストールされているか確認するコマンド
rpm -qa | grep bind

bindが起動しているか確認するコマンド
service status named

[MELCK]

どれかが停止されていてsamba自体が失敗になっているかもということですね。

＞ファイル共有に初回接続を行う際、パスワードダイアログが表示されているのでしょうか?
はい。クライアントPCとして使っているwin７PCはファイルサーバー接続時にそれぞれのユーザー名とパスワードを入力して接続しています。

＞samba4サーバのresolv.confはローカルホスト参照としていますか?
　resolv.confを覗いてみたらドメインは＊＊＊.localになっていてnameserverが２つあり
　１つはsambaが入っているファイルサーバーが指定されていました。
　もう１つはローカルホスト？になってました。
＞selinuxは無効にしていますか?
　# getenforce
　　disabled　
　無効になっているみたいです。
＞rpm -qa | grep bind
を行うと４つくらいでてきました。
＞service status named
status: 認識されていないサービスです。
となるのでインストールはしてあるけど使用していない、もしくは名前が違う？のでしょうか。
　

[over]

＞service status named

named本体がインストールされているのであれば、「認識されていないサービス」とはならないので名前が違うのでしょうか。

＞rpm -qa | grep bind

上記の結果を教えてください。

[MELCK]

sambaのときもｓｍｂではなくsamba4だったときと同じく認識されていないサービスと出ていたのでそうなのかもしれませんね。。
結果です。
# rpm -qa | grep bind
bind-libs-9.8.2-0.62.rc1.el6_9.1.x86_64
bind-utils-9.8.2-0.62.rc1.el6_9.1.x86_64
rpcbind-0.2.0-13.el6.x86_64
ypbind-1.20.4-33.el6.x86_64

RPCで思い出したのですがVistaでAD管理画面を開こうとしたら「RPC サーバーを利用できません」と出たときもありました。なにか関係してくるのかもですね・・・

[over]

bindはインストールされていないようです。
となるとsamba4内部DNSを使用しているようです。
OS自体の名前解決自体の設定は問題なさそうです。やはり内部DNSの問題の可能性が高いですね。
こうなるとログ頼りになりそうです。
tail -f でsamba4のログを監視状態にし、samba4の再起動を行う。
別コンソールでnslookup等でsamba4サーバ.メイン名の名前解決を行う。
名前解決ができなくなった時にsamba4ログに何が出力されるかを追うしかなさそうです。

[MELCK]

いつもありがとう御座います。

＞tail -f でsamba4のログを監視状態
　これはsamba.log　
＞nslookup
　＊＊＊.local
　が　
;; connection timed out; trying next origin
;; connection timed out; no servers could be reached
になったときsamba.logになにかしらでていないか。　という認識であっていますでしょうか。

[over]

その認識であっています。
補足すると、知りたいのは内部DNSが停止した原因です。
> ;; connection timed out; trying next origin
> ;; connection timed out; no servers could be reached

上記が表示された時点で内部DNSが停止しているので、原因がsambaのログに出力されることを期待しています。message、ldapログも併せてみた方がよいです。

[MELCK]

再起動を行い定期的にnslookupコマンドを定期的に行ってみました。
本当は２２分の時点でやるべきでしたが３８分にnslookupコマンドで
> ;; connection timed out; trying next origin
> ;; connection timed out; no servers could be reached
になることを確認しました。もしかしたら２２分の時点でなっていたかもしれません。
sysvolが止まっているのもおかしいですよね。。。
failed: 通信端点が接続されていません　という内容は最近だとみかけない内容です。

[2017/04/28 09:50:47.203058, 0] ../auth/ntlmssp/ntlmssp_sign.c:236(ntlmssp_check_packet)
NTLMSSP NTLM2 packet check failed due to invalid signature!
[2017/04/28 10:14:42.804192, 1] ../source3/smbd/service.c:1130(close_cnum)
IP(VistaPC) (ipv4:IP(VistaPC)) closed connection to service sysvol
[2017/04/28 10:22:38.303033, 1] ../source3/rpc_server/rpc_ncacn_np.c:622(make_external_rpc_pipe_p)
tstream_npa_connect_recv to /usr/local/samba/var/run/ncalrpc/np for pipe browser and user (VistaPC) failed: 通信端点が接続されていません
[2017/04/28 10:30:38.291247, 1] ../source4/dns_server/dns_query.c:526(handle_tkey)
Tkey handshake completed
[2017/04/28 10:31:56.357039, 0] ../source4/dsdb/dns/dns_update.c:294(dnsupdate_nameupdate_done)
../source4/dsdb/dns/dns_update.c:294: Failed DNS update - NT_STATUS_IO_TIMEOUT
[2017/04/28 10:34:38.493603, 1] ../source3/rpc_server/rpc_ncacn_np.c:622(make_external_rpc_pipe_p)
tstream_npa_connect_recv to /usr/local/samba/var/run/ncalrpc/np for pipe browser and user (VistaPC) failed: 通信端点が接続されていません
[2017/04/28 10:34:43.296860, 1] ../source3/rpc_server/rpc_ncacn_np.c:622(make_external_rpc_pipe_p)
tstream_npa_connect_recv to /usr/local/samba/var/run/ncalrpc/np for pipe browser and user (VistaPC) failed: 通信端点が接続されていません
[2017/04/28 10:37:25.693457, 1] ../source3/smbd/service.c:1130(close_cnum)
IP(VistaPC)(ipv4:1IP(VistaPC) closed connection to service sysvol

messageログには時間内のログは残っていませんでした。
ldapログはファイル自体がありませんでした。
調べると下記の内容をいれる必要があるみたいでした。
ファイルサーバーにはetc/rsyslog.dの下になにもファイルがない状態でした。

[root@ty-ldap01 ~]# echo "local4.* /var/log/ldap.log" > /etc/rsyslog.d/ldaplog.conf
[root@ty-ldap01 ~]# cat /etc/rsyslog.d/ldaplog.conf
local4.* /var/log/ldap.log
[root@ty-ldap01 ~]# /etc/init.d/rsyslog restart
システムロガーを停止中: [ OK ]
システムロガーを起動中: [ OK ]

[over]

> 通信端点が接続されていません
smb.confにおける共有プリンタの設定、およびcupsのサービス構成を見直してください。
エラーログで検索すればご期待のサイトが見つかるはずです。
なお、本エラーは出力されていても運用には影響ありません。

> ldapログはファイル自体がありませんでした。
こちらは私も詳しくないので申し訳ありませんが、local4に出力されるのは、OpenLDAPを採用している場合になります。samba4パッケージングのldapログの場合、ご提示頂いている手順でログが取得できるかが不明です。

ちなみに/var/log以下にnamedのログは見当たりますか?

[MELCK]

＞本エラーは出力されていても運用には影響ありません
　情報ありがとうございます。影響がないのであれば本件は
　とりあえず後回しにしようかなと思っています。

/var/log以下にnamedのログはありませんでした。
また/etc/named.confもありませんでした。

[over]

sambaのログは過去分どれくらい残っていますか?
それで以下の文字列で過去ログを検索して、いつから出力されているか調査すること可能でしょうか?
"Failed DNS update"

grep を使えば楽に検索できると思います。

[MELCK]

Failed DNS updateですが4/21の10時あたりからでした。
その日がVistaPCにRDPでつなごうとしたらパスワードの期限が切れたとか接続がやたら遅いとかを発見した日です。
ファイルサーバーの再起動を行ったのは4月１０日と4月１７日で
10日はファイルサーバーのみの再起動
１７日はすべてのネットワーク機器の再起動を行っています。
ブレーカーオンですべての機器に電源が入ったので起動順序がバラバラでサーバーに負担をかけてしまっていると思います。それも原因かと思い近いうちに順序を守り再起動を行おうと考えています。
VistaPCにRDP接続しようとしてエラーを見つけたのとFailed DNS updateが出始めているのが同じくらいなのでVistaPC側になにか問題があるのかなと思うのですが・・・

また、先ほどの再起動を行い定期的にnslookupコマンドを定期的に行うと同時にVistaPCからファイルサーバーにPingを飛ばしっぱなしにしてやってみました。
1回目は再起動を行い、途中いろいろログは出ましたが約１時間後にclosed connection to service sysvolがでてADとDNSがつながらなくなりましたがnslookupとpingは問題ありませんでした。
２回目はこちらも途中いろいろログは出ましたが1時間半くらいしてcreate_connection_session_info failed: NT_STATUS_ACCESS_DENIEDがでてAD管理画面とDNS画面が開けなくなりnslookupとpingは問題ありませんでした。
なのでsamba.logはあまりあてにならないかもしれないです・・・

[over]

yum updateのトリガは何で行っていますか?
21日近辺に行われた形跡はありますか?
yum ログみればわかると思います。

[MELCK]

ファイルサーバーに対してコマンドは「yum update」でやっています。
それ以外はとくになにも・・・って感じでログには２１日その前は１２日でした。
エラーは２１日の午前１０時あたりで、yumlogは２１日の17時でした。

[over]

そうだとするとyum updateによる影響ではなさそうですね。
21日 10時以前に/var/log/messageで「warning」「error」などは表示されていないでしょうか?

またディスクの空き容量は十分ですか?
dfコマンドで調べられます。

[MELCK]

var/log/messageログには特にwarningやerrorはありませんでした。
Apr 20 04:45:32 symcfgd: subscriber 8 has left -- closed 0 remaining handles
Apr 20 04:45:32 smcd: succeeded to run liveupdate.
Apr 21 02:00:23 rtvscand: New virus definition file loaded. Version: 190420b.
Apr 21 02:00:32 symcfgd: subscriber 9 has left -- closed 0 remaining handles

ディスク容量も一番使っているので３２％と問題ないかと思われます。
AD管理画面とDNS画面はVistaPCで開けないままですがnslookupでの名前解決は昼以降ずっと問題ない状態が続いています。

[over]

以下のコマンドの実行結果をお知らせ頂けますでしょうか?
/usr/local/samba/bin/samba-tool dns zonelist 127.0.0.1 -U Administrator
※samba-toolはyumでインストールした場合の規定値を記載しています。
導入された方が既にいらっしゃらないとのことで、ご自身でsamba-toolのありかを探してください。
mlocate、findとかで探せると思います。

DNSが正常に動作していれば、Active Directoryに必要となるゾーン情報が取得できるはずです。
samba4再起動後に実施してください。
なお、サイト固有のドメイン名が表示された場合はマスクした上で投稿願います。

[MELCK]

お世話になっております。
いつもありがとう御座います。
samba-toolですが/usr/local/samba/bin/samba-tool にありました。
金曜日終日問題がなかったnslookupでの名前解決ですが
本日は名前解決できなくなっていてsamba4のrestartｂによりできるようになりました。
restartすると一時的にすべてが正常どおり動いてくれるんですがいつのまにかつながらなくなってしまします。
以下/usr/local/samba/bin/samba-tool dns zonelist 127.0.0.1 -U Administratorの結果です。
ドメインのところは＊＊＊に変えさせていただきました。
注意ありがとう御座います。本当に助かります。

Password for [***\Administrator]:
2 zone(s) found

pszZoneName : ***.local
Flags : DNS_RPC_ZONE_DSINTEGRATED DNS_RPC_ZONE_UPDATE_SECURE
ZoneType : DNS_ZONE_TYPE_PRIMARY
Version : 50
dwDpFlags : DNS_DP_AUTOCREATED DNS_DP_DOMAIN_DEFAULT DNS_DP_ENLISTED
pszDpFqdn : DomainDnsZones.***.local

pszZoneName : _msdcs.***.local
Flags : DNS_RPC_ZONE_DSINTEGRATED DNS_RPC_ZONE_UPDATE_SECURE
ZoneType : DNS_ZONE_TYPE_PRIMARY
Version : 50
dwDpFlags : DNS_DP_AUTOCREATED DNS_DP_FOREST_DEFAULT DNS_DP_ENLISTED
pszDpFqdn : ForestDnsZones.***.local

[over]

DNS設定は間違っていないように見えます。

以下のコマンドの結果をお知らせ頂けますか?
1)
# host -t SRV _ldap._tcp."ドメイン名" 127.0.0.1

2)
# host -t SRV _kerberos._udp."ドメイン名" 127.0.0.1

3)
# host -t A "ホスト名FQDN" 127.0.0.1
※ホスト名FQDNはホスト名+ドメイン名

4)
kinit administrator@"ドメイン名"

[MELCK]

4)なのですがドメイン名を大文字にしてみたりやってみたのですがこのメッセージがでてしまいます。

1)
# host -t SRV _ldap._tcp."ドメイン名" 127.0.0.1
Using domain server:
Name: 127.0.0.1
Address: 127.0.0.1#53
Aliases:

_ldap._tcp.***.local has SRV record 0 100 389 ホスト名.***.local.

2)
# host -t SRV _kerberos._udp."ドメイン名" 127.0.0.1

Using domain server:
Name: 127.0.0.1
Address: 127.0.0.1#53
Aliases:

Host _kerberos/_udp.***.local not found: 3(NXDOMAIN)

3)
# host -t A "ホスト名FQDN" 127.0.0.1
※ホスト名FQDNはホスト名+ドメイン名

Using domain server:
Name: ***.local
Address: (ファイルサーバーのIP)#53
Aliases:

ホスト名.***.local has address (ファイルサーバーのIP)

4)
kinit administrator@"ドメイン名"

Password for administrator@***.local:
kinit: KDC reply did not match expectations while getting initial credentials

[over]

大体状況はわかりました。
nslookupで名前解決ができる状態であるにも関わらず、Active Directory関連のツール接続不可、DNS管理ツール接続不可、他sysvol接続のエラーに関しては、2)の結果、および4)の結果からkerberosの設定が正しくされていないことによるものだと考えられます。
そのため、samba4サーバにおいて、kerberos認証におけるチケット交換を正常に処理することができなく、クライアント側でチケット交換のタスクが実行された時点で、チケット相違が発生し、先述したような状況が発生するのだと思います。
※kerberos認証の仕組みについては検索すれば、詳しく説明されているサイトがあるのでご確認ください。

これとは、別にsamba4 内部DNSが停止している問題もあります。
こちらは実績なし(というよりkerberosの設定をしないで、samba4 Active Directoryの構築をした実績がない)なので何とも言えませんが、samba4サーバ自身がチケットを正しく交換できなかった場合に、DNSへの接続手段を失ってしまうためなのかとも思っています。

いずれにせよ、正常に動作していないため、システム変更かリプレースを検討されるべきかと思いますが、この運用影響を測れる前任がいらっしゃらないとどうにも手が出しにくいですね。
案としては・・・
1)kerberos認証を正しく設定してみる。
→推測の域をでないので、無駄足になる可能性あり。また、ある程度のsamba4、Active Directoryのリテラシを携えた技師が必要。

2)samba4をActvie Directoryではなくsamba共有としてシステム変更する。
→ドメインコントローラではなくなるため、ドメインが消失する。ファイルサーバとしては利用可能。ただし、ユーザの追加手順等が変わってくる。
ある程度samba4のリテラシを携えた技師が必要。

3)既存ドメインにファイルサーバを構築してしまう。
→WindowsServerOSライセンス、およびCALの購入が必要になる。ある程度Windowsに知見があれば構築可能。シングルサインオンの恩恵も受けられる。

[over]

補足で。
lazhuward様からツッコミがあったサードパーティ製ソフトウェア導入の可能性は確認されたのでしょうか?
システム変更を検討されるのであれば、こちらの存在確認も重要になってきます。

[MELCK]

4)
kinit administrator@"ドメイン名"

これは何もメッセージでないで元に戻るのが正解なのですね。
であれば問題ありませんでした。
kerberos認証についてはこれから調べてみようと思います。

状況詳しく説明していただきありがとう御座います。
設定の変更等もしていないので急にできなくなったのでファイルの破損とかなんでしょうかね。。
内部DNSが停止しているだけでsamba停止に失敗しているとしてDNSが正常になればそれで解決とかであればいいのですが、、
システム変更かリプレースってことになるとは思うのですが現状私が少しずつやっていくしかないような状況です。調べつつできる内容であればいいのですがちょっと厳しそうです・・・
windowsでファイルサーバーの構築なら大丈夫なのですが本当に最終手段ですね。
現状都度sambaの再起動を行えば作業に支障はないのが唯一の救いですね。

他ソフトウェアの件ですがps -ef | grep -e samba -e smbでみるといろいろ動いてはいるのですがsambaの停止ができないのでとめてプロセス殺して再起動ってのができていなく確認できていません。
現状動いているのを見るとすべてにsamba～～となっているので他のはないのかなと勝手に思ってはいますが・・・

[MELCK]

# host -t SRV _kerberos._udp.***.localホスト 127.0.0.1
Using domain server:
Name: 127.0.0.1
Address: 127.0.0.1#53
Aliases:

_kerberos._udp.***.localホスト has no SRV record

Answer 2

まず、smb.confに追記する内容ですが、globalセクション内へ
下記一行を追記して、SAMBAを再起動していただければ大丈夫かと思います。

socket options = TCP_NODELAY

記載して頂いている内容からではHW・ミドル・ソフトの各視点で
原因を絞り込むところまでは行き着けませんが、
まずは現状の確認されてみてはいかがでしょうか。
・CPU負荷/メモリ負荷
・ネットワーク負荷
・ストレージの使用率

それぞれの要因から障害原因の切り分けが出来ると思いますのでお試し頂ければと思います。

※追記
sambaデーモンの再起動については下記のコマンドになります。

# service smb restart

※ sudo コマンドで実行して頂いても問題ありません。

Comments

[MELCK]

ご回答ありがとう御座います。
socket options = TCP_NODELAY
追記してみようと思います。
追記後なのですがsambaの再起動が必要になると思います。
sudo service smbd restartか/etc/init.d/smbd restart
で再起動はできると思うのですがこの際なにか影響はありますでしょうか。
ファイルサーバーにつないでいるクライアントが一時的に切断される等でしょうか？
宜しくお願いします。

[choro-s]

sambaのリスタートについては回答に追記をいたしましたのでそちらをご確認下さい。
RHEL系のOSではsmbdという名称でinitに登録されておらず、ご指摘のコマンドを実行すると、登録されていませんと言うエラーメッセージが表示されますのでご注意下さい。

なお、発生しうる影響としては
ご指摘の通り、SAMBAサーバへ接続されているクライアントのセッション断が発生いたします。
接続されているユーザ数・データの送信状況によってはネットワークが不安定になる可能性もありますので、smb.confへの追記およびサービスの再起動のタイミングには良く注意して実行頂きたいと思います。

[MELCK]

ありがとうございます。
再起動を行おうとしたら
ｓｍｂ　認識されていないサービスです。
と表示されてしまします。エラーメッセージとはこれのことでしょうか。

[choro-s]

ご指摘の内容の通りです。
質問者さんがsmbdでコマンド実行されているところを見ると、
init.d ディレクトリ内にsmbdで登録されているようですので
ご質問に記載して頂いた、service smbd restartにて再起動して頂ければと思います。

[MELCK]

ありがとう御座います。
init.dにsmdbがなく、samba4、smcd、sshdがあるのですがこの場合はservice samba4 restartになるのでしょうか。
何度も申し訳ありません・・・

[choro-s]

ファイル名から推察するとsamba4で会っているような気がしますが、
念のため、catコマンドで内容を確認した上で実行してみて下さい。

内容が間違いないようであればご指摘の通り service samba4 restartでSAMBAの再起動が実行できます。

[MELCK]

ちょっと怖いので誰もいない時間帯にやってみようかと思います。
TCP_NODELAYで速度がかわればいいのですが・・・
ご対応ありがとう御座いました！すごくたすかりました！

[MELCK]

service samba4 restart（/etc/init.d/samba4 restart）で再起動ができることが確認できました！
なのですが、smb.confのglobalの一番下にsocket options = TCP_NODELAYを追加して保存したところ
/etc/init.d/samba4 restartをすると　
samba4　を停止中　〔失敗〕
samba4　を起動中　〔 OK 〕　
となってしまいます。
これは再起動できてなく、confも再読み込みされていないですよね・・・

Answer 3

違う観点から。

もしかしたらそのサーバにパッケージソフトを導入していませんかね。
samba4で起動するものではないソリューションではありませんか？

例えばサイボウズGaroonなどは、内部的にはsambaを使っていますが、
起動する際はGaroonのパッケージから起動させますのでコマンドが違います。

/etc/init.d/samba4 stop した後に ps -ef | grep -e samba -e smbしたらプロセス生きてますか？
その場合は、一旦プロセス殺して起動 /etc/init.d/samba4 start してください。

Kerberosの設定はいじってないんですよね？
ちなみに/var/log/messagesにはエラーが出ていませんか？

仮想サーバであるならば、手っ取り早くOS再起動すれば解決するかもしれません。
＃ただし物理サーバの場合は、電源が死ぬ可能性があるので再起動しないでください。

【追記】
/etc/init.d/samba4 stopしてプロセスもキルした後に
/etc/init.d/samba4に書かれているpidファイルがある場合があります。
もし存在していたら削除してから /etc/init.d/samba4 start してください。

Comments

[MELCK]

前回に引き続きありがとう御座います！
samba4 stopをするとたぶんsamba4 を停止中 〔失敗〕になると思うのですがもしものために使わない時間に行ってみようと思います。
当たり前ですが、とりあえず現状はps -ef | grep -e samba -e smbするといろいろ動いてるっぽいです。
Kerberosの設定は触っていないです（触れる知識がないのですが）
/var/log/messagesの方ですが直近ですと
failed to run liveupdate.
Not saving repeating crash in '/usr/local/samba/sbin/smbd'
くらいで特に問題なさそうです。
Could not scan 1 files insideっていうのを大量に見つけてまた違うこともしないといけなそうですが・・・

sambaが入っているファイルサーバーはDELLの物理のものでつい最近再起動したばかりです。（ビルの停電ですべてに機器が落ちています）
再起動後調子がわるくあった気がしますがたまたまなのかな・・・

[lazhuward]

あ、停電があったのか。
サーバ全台起動してからさらに再起動しないと安定しない場合があります。
特にドメイン参加している場合、不安定になりがちです。
サーバ群の起動順番があると思うのですが、その順番通り起動してもらったor起動してますか？

> failed to run liveupdate.
> Could not scan 1 files insideっていうのを大量に見つけてまた違うこともしないといけなそうですが・・・
これはSEPのエラーですね。Linux版のSEPが入ってるんだと思います。
パスワードがかかってたりSEPを実行しているユーザーが権限エラーで
ファイルをスキャンできなかった場合に排出されるログですね。

[MELCK]

停電があったので停電前にすべての機器をシャットダウンしてブレーカONで起動するものは起動、しないのは手動で・・・　
という感じだったのでよくなかったですね。
シャットダウン順序も起動順序もバラバラでした。
サーバ関係落として順序通り起動させればもしかしてよくなるかもですね。
人がいない時間にやってみようと思います。

毎週ｽｷｬﾝをしているみたいで結構な数でてました。
シマンテックが入っていて動いていることはしっていたのですがとりあえずこれは後回しにしようと思います。

[lazhuward]

それはよくありません。サーバに負荷を掛けています。
情報セキュリティのDR対策がされていないのと同じです。
最悪サーバが死んでデータが引き出せなくなってしまいますよ。
停電対策について見直しをされたほうがよいです。
最初は大変ですが手順をマニュアルに落としておけば、誰でもできますので自己の負担も減りますよ。

サーバは生き物なので、必ず無停電状態にさせないといけません。
また、停電からの復帰時に電流が一気に流れることがあるため
アース線がついていても壊れるリスクを減らすようにプラグも抜きます。

ちなみによく勘違いされているものに、無停電電源装置（UPS）を着けているから大丈夫と言われることがあります。
UPSは停電時にバッテリーからサーバに電力供給され予期せぬサーバ停止を防ぐものですが、2,3時間でバッテリーが切れるような代物です。

UPSを付ける理由は、停電時にサーバがずっと落ちないようにするためではなく、
停電時に人力でシャットダウンできるようにするためのものなので覚えておいてください。

[MELCK]

ありがとう御座います。
マニュアル作成を行おうと思うので順序等調べて作成してみます。
電源プラグ、UPSについても勉強になります！
つい最近までまったく違うことをしていて知識がないのですごく助かります。

[MELCK]

なかなかできる機会がなかったのですがやっとできました。
/etc/init.d/samba4 stopにてsamba4を停止　失敗と表示されるので
kilall　samba4を実施。
その後ps -ef | grep -e samba -e smbにてプロセスを確認すると
5つくらいプロセスがあったのでそれもkill -9 IDで強制終了し
/etc/init.d/samba4 startにて起動。
その後ですが/etc/init.d/samba4 restartにて再起動をかけると
停止も起動もOKになりました。
相変わらずsamba.confにはNTLMSSP NTLM2 packet check failed due to invalid signature!
がでていますが今のところアクティブディレクトリの管理画面が開けなくなったり、DNSの管理画面が開けなくなったりがおきていません。
VistaPCの方もどう関係していたかわかりませんが、システムログにエラーが出なくなっています。

とりあえず今日、明日と様子をみることにしましたが
何もなければ解決となりそうです。
（ネットワーク自体が遅い、重いというまた別の問題がでてきましたが・・・）

ありがとう御座いました！