[TR] VMware vSphere 7.0 Ortamında Proxy Kimlik Doğrulaması Kullanılırken vLCM Güncellemelerinin İndirelememe Sorunun Giderilmesi

vSphere 7.0 ortamlarında vSphere Lifecycle Manager (vLCM) VMware ESXi host’ların patch ve image yönetimini merkezi olarak yöneten kritik bir bileşendir. Ancak proxy kimlik doğrulaması (authentication) kullanılan ortamlarda özellikle HTTPS tabanlı VMware depot adreslerinden güncellemeleri indirirken sorun yaşanabilmektedir.

Bu problem çoğu zaman ağ ya da DNS hatası gibi görünse de aslında ürün davranışına bağlı bilinen bir durumdur.

Bu makalemde bu sorunun belirtileri, log çıktıları, teknik analiz, çözüm ve uygulanabilir komutlarla birlikte detaylı şekilde ele alınmıştır.

Sorunun en belirgin etkisi Lifecycle Manager’ın update senkronizasyonu sırasında başarısız olmasıdır. vLCM VMware’in resmi update depolarına bağlanmaya çalışır ancak bağlantı kuramaz ve güncellemeleri indiremez. Bu durum özellikle proxy kullanıcı adı ve şifre ile yapılandırılmış ortamlarda HTTPS protokolü kullanıldığında ortaya çıkar.

Sorun yaşanan sistemlerde, /var/log/vmware/vmware-updatemgr/vum-server/lifecycle.log dosyasında aşağıdakine benzer hatalar görülür.

ImageManagerCTL: INFO Opening https://hostupdate.vmware.com/.../vmw-depot-index.xml for download
DepotCollection: INFO Could not download from depot at https://hostupdate.vmware.com/...
DepotMgr: ERROR Unable to connect to depot(s)
<urlopen error [Errno -2] Name or service not known>
socket.gaierror: [Errno -2] Name or service not known

Bu log’lar ilk bakışta DNS problemi gibi görünse de asıl sorun proxy + HTTPS kombinasyonunun vLCM tarafından doğru şekilde işlenememesidir. Özellikle Proxy.py modülünde bağlantı kurulurken hata oluşur.

Sorunu daha net analiz edebilmek için aşağıdaki temel kontrolleri yapmalıdır. Öncelikle VCSA üzerinde proxy ayarlarının doğru tanımlandığı doğrulanmalıdır.

cat /etc/sysconfig/proxy

Ardından DNS çözümleme testi yapılmalıdır.

nslookup hostupdate.vmware.com

Bağlantı testi (proxy üzerinden) kontrol edilmelidir.

curl -v https://hostupdate.vmware.com

Eğer proxy kimlik bilgileri kullanılıyorsa;

curl -v -x http://kullanici:sifre@proxy_ip:port https://hostupdate.vmware.com

Bu testler başarılı olsa bile vLCM hâlâ senkronizasyon yapamıyorsa problem büyük ihtimalle bilinen ürün davranışıdır.

VMware bu sorunu vCenter Server 7.0 Update 1c sürümünde çözmüştür. Bu nedenle en doğru ve kalıcı çözüm, vCenter Server’ı bu sürüme (veya daha günceline) yükseltmektir. Ancak upgrade mümkün değilse geçici bir workaround uygulanabilir.

Geçici çözümün mantığı, HTTPS download source adreslerini HTTP olarak yeniden tanımlamaktır. Bunun için vSphere Client üzerinden şu adımlar izlenir.

• Menu → Lifecycle Manager → Settings
• Patch Setup bölümüne girilir
• Mevcut HTTPS download source kayıtları Disable edilir

Varsayılan kaynaklar genellikle şunlardır;

https://hostupdate.vmware.com/software/VUM/PRODUCTION/addon-main/vmw-depot-index.xml
https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml
https://hostupdate.vmware.com/software/VUM/PRODUCTION/iovp-main/vmw-depot-index.xml
https://hostupdate.vmware.com/software/VUM/PRODUCTION/vmtools-main/vmw-depot-index.xml

Bu adresler kaldırıldıktan sonra aynı URL’ler HTTP olarak yeniden eklenir.

http://hostupdate.vmware.com/software/VUM/PRODUCTION/addon-main/vmw-depot-index.xml
http://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml
http://hostupdate.vmware.com/software/VUM/PRODUCTION/iovp-main/vmw-depot-index.xml
http://hostupdate.vmware.com/software/VUM/PRODUCTION/vmtools-main/vmw-depot-index.xml

Ardından aşağıdaki işlem ile senkronizasyon başlatılır:

• Actions → Sync Updates

CLI üzerinden servis kontrolü ve restart işlemleri de yapılabilir.

service-control --status vmware-updatemgr
service-control --restart vmware-updatemgr

Log takibi için;

tail -f /var/log/vmware/vmware-updatemgr/vum-server/lifecycle.log

Bu işlemler sonrasında vLCM’nin güncellemeleri başarılı şekilde indirdiği gözlemlenmelidir.

Burada dikkat edilmesi gereken önemli noktalar vardır. Download source listesinde aynı URL’nin birden fazla kez bulunmaması gerekir. Duplicate kayıtlar senkronizasyonu bozabilir. Ayrıca HTTP kullanımı güvenlik açısından önerilmez; bu nedenle bu çözüm yalnızca geçici olarak uygulanmalıdır. Uzun vadede mutlaka güncel vCenter sürümüne geçiş yapılmalıdır.

Sonuç olarak proxy kimlik doğrulaması kullanılan vSphere 7.0 ortamlarında vLCM’nin HTTPS üzerinden update çekememesi sık karşılaşılan ancak doğru analiz edilmesi gereken bir problemdir. Log’ların doğru yorumlanması, gereksiz DNS veya network troubleshooting süreçlerini ortadan kaldırır. Geçici olarak HTTP workaround uygulanabilir ancak kalıcı çözüm her zaman ürün güncellemesidir. Bu yaklaşım sayesinde Lifecycle Manager sağlıklı şekilde çalışmaya devam eder ve patch yönetim süreçleri kesintiye uğramaz.