Risolvere l'errore "Impossibile connettersi al server di archiviazione" di Kopano Dagent

Quando Kopano segnala "Impossibile connettersi al server di archiviazione" durante la consegna della posta, l'agente di consegna (dagent) non è riuscito a stabilire una connessione con l'endpoint del server Kopano che gli era stato assegnato. Il solo messaggio non identifica se la causa è un server arrestato, un percorso socket errato, problemi di autorizzazioni di accesso o un problema di connessione remota. Inizia controllando l'endpoint configurato e il server stesso; evita di modificare i dati della casella di posta o l'archiviazione degli allegati durante la diagnosi di un errore di connessione.

La documentazione di amministrazione di Kopano descrive dagent come il componente che recapita la posta dall'agente di trasporto della posta (MTA) a un utente Kopano. Il riferimento di configurazione di Kopano Core 8.0 server_socketspecifica la connessione al server Kopano e la documenta file:///var/run/kopano/server.sockcome predefinita. Le versioni dei pacchetti, i gestori dei servizi e la configurazione locale possono variare, quindi verificare i valori sul proprio host prima di applicare un esempio.

Cosa dovresti controllare per prima cosa?

Verificare se l'errore interessa tutti i destinatari o solo un percorso di consegna. Se tutte le consegne in entrata falliscono contemporaneamente, verificare la disponibilità del server e dell'endpoint. Se falliscono solo i messaggi instradati attraverso un host o un nodo, confrontare il nodo dagent.cfge il percorso di rete con un nodo funzionante. Conservare un messaggio o una voce di coda non riuscita durante i test; i tentativi ripetuti possono oscurare il primo timestamp utile nei log.

Su un sistema che utilizza systemd, esaminare le unità Kopano e il log del server intorno al momento della consegna:

systemctl list-units 'kopano*'
systemctl status kopano-server --no-pager
journalctl -u kopano-server -b --no-pager

Se il pacchetto in uso denomina l'unità in modo diverso, utilizzare il nome dell'unità mostrato da list-units. Un server inattivo o che si riavvia ripetutamente indica un problema lato server. Leggere il registro per individuare un errore precedente di avvio, database, configurazione o archiviazione; il riavvio di dagent non risolverà un server Kopano non disponibile. Il manuale dell'amministratore documenta la gestione del servizio Kopano, ma i nomi esatti delle unità dipendono dal pacchetto.

Il dagent punta al socket del server corretto?

Leggi il file di configurazione attivo, solitamente /etc/kopano/dagent.cfg, e trova la server_socketvoce:

grep -nE '^[[:space:]]*server_socket[[:space:]]*=' /etc/kopano/dagent.cfg

Per un socket Unix locale, confronta l'impostazione con il socket effettivamente creato dal server in esecuzione. Un valore comune nella documentazione di Kopano Core è:

server_socket = file:///var/run/kopano/server.sock

Verifica che il file esista e che sia un socket:

ls -l /var/run/kopano/server.sock
test -S /var/run/kopano/server.sock && echo "Socket exists"

Se i percorsi configurati e quelli effettivi differiscono, correggere il server_socketvalore con l'endpoint utilizzato intenzionalmente dall'installazione. Non copiare ciecamente il valore predefinito se il server è configurato per utilizzare un'altra directory di runtime, un indirizzo cluster o un trasporto remoto. La documentazione di riferimento di Kopano descrive anche le impostazioni della chiave SSL per i trasporti HTTPS; la sintassi dell'endpoint remoto e i requisiti del certificato devono corrispondere alla configurazione del server installato.

È possibile che i permessi del socket blocchino la connessione?

Sì. Un socket può esistere ed essere comunque inaccessibile all'utente che esegue dagent. Individua l'utente effettivo del processo dall'unità di servizio o dal processo pertinente, quindi ispeziona il socket e ogni directory padre. Ad esempio:

namei -l /var/run/kopano/server.sock
stat -c '%A %U:%G %n' /var/run/kopano/server.sock

Confronta il proprietario, il gruppo e i permessi di attraversamento delle directory con l'identità di runtime di dagent. La documentazione di configurazione di Kopano per dagent indica che l'utente e il gruppo di esecuzione possono essere configurati, con Kopano come predefinito; pacchetti o override potrebbero modificare questa impostazione. Se si utilizza systemd, esaminare l'unità e gli eventuali override prima di modificare la proprietà:

systemctl cat kopano-dagent
systemctl show kopano-dagent -p User -p Group

Modifica le autorizzazioni solo per concedere all'account di servizio desiderato l'accesso necessario. Non intervenire chmod 777sul socket o sulla sua directory: ciò potrebbe esporre un endpoint di servizio privilegiato a utenti locali non autorizzati. Le directory di runtime potrebbero essere ricreate all'avvio, quindi è consigliabile correggere la configurazione del servizio o del pacchetto che le crea, anziché affidarsi a una modifica manuale temporanea delle autorizzazioni.

E se il server si trovasse su un altro nodo?

In una configurazione multi-server o ad alta disponibilità, verificare che dagent utilizzi l'indirizzo del cluster o del server raggiungibile per il suo nodo. La guida all'alta disponibilità di Kopano mostra che gli endpoint di servizio e il routing di consegna di Postfix devono essere coordinati tra i nodi. Confrontare server_socketil listener del server, l'indirizzo DNS o del cluster, le regole del firewall e le eventuali impostazioni TLS su entrambi i lati. Una connessione riuscita a un socket locale su un nodo non dimostra che un endpoint remoto sia raggiungibile da un altro nodo.

Verifica la connettività utilizzando lo stesso endpoint e percorso di rete configurato per dagent. Per un trasporto remoto, controlla lo stato del listener e la policy del firewall sull'host Kopano, quindi esamina i log di dagent e del server per individuare eventuali rifiuti di connessione, timeout o errori TLS. Non aprire un listener a Internet in modo indiscriminato come scorciatoia per la risoluzione dei problemi; limita l'accesso agli host di posta e applicazioni attendibili.

Come si può testare la consegna senza modificare il flusso di posta in produzione?

Dopo che il server è attivo e l'endpoint e le autorizzazioni sono configurati correttamente, eseguire un test controllato utilizzando una casella di posta di test designata. Il manuale di amministrazione di Kopano descrive come richiamare direttamente dagent con un utente su quel nodo, quindi inserire un oggetto e un corpo del messaggio. Un modello di test di base è il seguente:

kopano-dagent -v -c /etc/kopano/dagent.cfg testuser
Subject: Kopano connection test

This is a controlled delivery test.
[Press Ctrl-D to finish input]

Sostituisci testusercon un utente Kopano locale esistente e segui la sintassi dei comandi della versione installata. Questo test ignora alcuni comportamenti di routing e di coda dell'MTA; una consegna diretta riuscita verifica una parte utile del percorso, ma non dimostra che Postfix o un altro MTA stia instradando correttamente la posta. Controlla l'output di dagent, i log di Kopano e la casella di posta di test prima di riprovare a inviare i messaggi di produzione in coda.

Quando è opportuno riavviare un servizio?

Riavvia solo il componente la cui configurazione è cambiata e solo dopo aver salvato una copia valida della sua configurazione. Se hai modificato dagent.cfg, riavvia l'unità dagent quando la tua installazione esegue dagent come servizio persistente. Alcune installazioni avviano dagent per singole distribuzioni, quindi potrebbe non esserci un'unità dagent in esecuzione da riavviare. Se hai modificato server.cfgle impostazioni del listener del server o , segui invece la procedura di modifica del tuo sito per Kopano Server. La documentazione di riferimento di dagent documenta solo alcune opzioni come ricaricabili da HUP; non presumere che ogni modifica del socket o dell'identità di runtime abbia effetto tramite un segnale.

Come si fa a confermare la correzione?

Confermare tutti i seguenti elementi prima di chiudere l'incidente:

• Il server Kopano rimane attivo senza nuovi errori relativi alla connessione nel suo registro.
• L'endpoint configurato in dagent corrisponde a un socket attivo o al listener remoto previsto.
• L'utente runtime del dagent può attraversare le directory padre del socket e accedere all'endpoint.
• Un messaggio di prova controllato raggiunge la casella di posta elettronica di destinazione e i relativi registri non mostrano alcun errore di connessione al server di archiviazione.
• Un nuovo messaggio in entrata inviato tramite il normale percorso MTA viene accettato e consegnato; la coda MTA non continua ad accumulare lo stesso errore.

Se la consegna diretta funziona ma la posta tramite MTA continua a non arrivare, esaminare il trasporto LMTP, il percorso socket e il routing dell'MTA anziché modificare l'archiviazione della casella di posta di Kopano. Se il server e l'endpoint risultano funzionanti ma dagent continua a segnalare un errore di connessione, raccogliere i timestamp corrispondenti, il server_socketvalore anonimizzato, lo stato del servizio e i log pertinenti per il responsabile del pacchetto o l'amministratore di Kopano. Oscurare password, chiavi private, contenuto dei messaggi e indirizzi personali prima di condividere i dati diagnostici.

Riferimenti: Manuale di amministrazione di Kopano Core ; Guida alla configurazione di Kopano dagent ; Guida all'alta disponibilità di Kopano ; Configurazioni speciali e risoluzione dei problemi di Kopano .