[AWS] Amazon FSx 생성했는데 dns name, powershell endpoint 접속 안될 때 (AD 동적 업데이트 이슈)

이전에 Amazon FSx for Windows File Server 서비스 접근 오류 관련하여 아래 포스팅을 다룬 적이 있었다. 이번 글은 거기에 더하여 또 다른 원인을 추가하려 한다. (https://bosungtea9416.tistory.com/entry/fsx-%EC%98%A4%EB%A5%98)

[AWS] Remote PowerShell Session 연결 오류 "WinRM cannot process the request..." 및 해결

 

 

일반적인 FSx 생성 및 접근

Amazon FSx for Windows File Server를 생성하려면 먼저 AD 서버의 정보를 입력해야 한다. 생성 간 네트워크 환경과 통신에 문제가 없다면 FSxs는 문제없이 생성되고 AD서버에는 생성된 FSx의 정보가 올라오게 되는 것이 일반적이다. 그렇게 되면 AD에 종속되어 있는 사용자는 FSx의 정보를 얻어 접근할 수 있다. 

하지만 나의 경우, FSx를 생성해도 AD 서버에 computer object는 생성되었지만 FSx 관련 레코드 값은 전혀 올라오지 못하는 상황이었다. 직접 레코드 값을 확인하여 AD에 수동으로 업데이트해주면 되지만 나의 이전 글을 읽어보면 알겠지만 FSx의 dns name은 AWS 콘솔 환경에도 확인이 가능하지만 Powershell Endpoint 값은 확인이 불가하여 반드시 Global Support에 문의해 알아내는 수밖에 없다. 근본적인 문제 원인을 찾을 필요가 있어 보였다.

 

 

문제 해결

방화벽 열어줄 거 다 열어주고, 우선 문제가 생겼다면 아래 AWS 공식 도큐먼트 링크를 참조하여 관련 설정 확인을 해보자.

• Active Directory 도메인 컨트롤러에 대한 연결 확인
  참조 문헌: https://docs.aws.amazon.com/fsx/latest/WindowsGuide/validate-ad-domain-controllers.html#test-ad-controller-connectivity
  
• Active Directory 구성 확인
  참조 문헌: https://docs.aws.amazon.com/fsx/latest/WindowsGuide/validate-ad-config.html
  
  만약 위의 가이드를 따라 하는데 중 이미 이전에 몇 번 수행한 적이 있다면 아래와 같이 오류가 발생할 수 있는데, 이 경우 -force 옵션을 넣어  결과 값을 zip 파일로 받을 수 있다.
  
  
• 기본 DNS 기능 확인 (Dcdiag /test:dns 명령어)
  'Dcdiag /test:dns' 명령어를 수행하여 도메인 컨트롤러의 기본 DNS 테스트 및 확인이 가능하다. 관련하여 자세한 설명은 다음 링크를 통해 참고할 수 있다. (https://docs.microsoft.com/ko-kr/windows-server/identity/ad-ds/manage/troubleshoot/verify-dns-functionality-to-support-directory-replication)

 

문제 원인

문제 해결을 위해 원인을 찾던 중 Dcdiag /test:dns 명령어 수행으로 아래와 같이 'Dynamic update' 부분 검사에 실패한 것을 확인했다. 추가된 장비에 동적으로 업데이트가 되지 않으니, FSx를 생성해도 AD는 compute object만 생성할 뿐, 그것의 레코드 값을 동적으로 올리지 않은 것이었다.

AD의 동적 업데이트 활성화를 위해 '사용 안 함' 설정을 '사용함'으로 변경해 문제를 해결할 수 있었다.

 

 

결론

AWS와 On-Premise 간 네트워크 환경과 모든 방화벽을 체크했음에도 FSx 생성 시, 사용에 어려움이 있다면 아래를 확인해보도록 하자. 추후 더 알아내는 게 있다면 추가하도록 할 예정이다.

1. dns name과 powershell endpoint를 호출할 수 있는가?

2. 만약 호출할 수 있다면 nslookup 명령어로 각 dns name과 powershell endpoint의 IP주소 어떤지 확인해본다. 이 둘을 절대 같으면 안 되며, dns name의 IP주소는 콘솔 환경에서 확인할 수 있고, powershell endpiont의 IP주소는 Global Support에 Case Open 하여 확인할 수 있다.

3. AD 서버에 도메인 컨트롤러의 기능을 점검한다. (나의 경우 동적 업데이트가 비활성화되어 문제가 되었다.