Unified Access Gateway - Update funktioniert nicht

[Whitemoon]

Guten Abend,
kurz vor Weihnachten wird es bei uns ruhiger und hat Zeit die ToDo Liste vor dem Jahreswechsel abzuarbeiten.

Wir werden in Kürze von VMware Security Server auf Unified Access Gateway (UAG) migrieren. Mit der Version 2009 hat VMware die Möglichekeit geschaffen, das UAG zu aktualisieren ohne das ein neues Deployment notwendig ist (https://docs.vmware.com/en/Unified-Acce ... C7CF9.html).

Für Tests habe ich die Version 21.06.2 bereitgestellt und die notwendige Konfiguration in der WebGUI des UAG durchgeführt. Nach einem Neustart der UAG passiert allerdings nichts. In der Logfile package-updates.log finde ich folgende Fehler:

Code: Alles auswählen

12/14 18:39:36,730 Applying any package updates available
2021-12-14 18:39:37,088 Fetching update info from location : https://packages.vmware.com/uag/21.06.2/updates.json
curl: (28) Connection timed out after 15000 milliseconds
---------------------------------------------------------------------------------
12/14 18:45:14,738 Applying any package updates available
2021-12-14 18:45:14,989 Fetching update info from location : https://packages.vmware.com/uag/21.06.2/updates.json
curl: (28) Connection timed out after 15001 milliseconds
---------------------------------------------------------------------------------
12/14 18:50:53,216 Applying any package updates available
2021-12-14 18:50:53,473 Fetching update info from location : https://packages.vmware.com/uag/21.06.2/updates.json
Package update with url https://packages.vmware.com/uag/21.06.2/updates.json failed as server returned errorcode - 404
---------------------------------------------------------------------------------
12/14 18:53:55,559 Applying any package updates available
2021-12-14 18:53:55,818 Fetching update info from location : https://packages.vmware.com/uag/21.06.2/updates.json
Package update with url https://packages.vmware.com/uag/21.06.2/updates.json failed as server returned errorcode - 404


Zuerst habe ich die Adresse "https://packages.vmware.com/photon" im Browser aufgerufen. Das Repository ist erreichbar und es sind Unterverzeichnisse und Pakete zu sehen. Anders sieht es bei "https://packages.vmware.com/uag". Hier sehe ich zwar auch Ordner. Aber nirgendswo eine updates.json noch ein Verzeichnis mit einer aktuellen Versionnummers (z.B. 2111). Wenn man sich Datum Uhrzeit der Verzeichnisse anschaut, könnte man gerade meinen das es noch nie funktioniert hat.

Hat jemand von euch die Funktion seit der Einführung erfolgreich genutzt oder hat die selbe Problematik festgestellt?

[irix]

Nein... ich musste gerade mein 2009 UAG aus dem Backup wiederherstellen da log4j durchgerauscht ist und wir dann hinterher mit gelockten Accounts und einem PW wechsel rumaergern mussten. Bin dann aber sehr an deiner Loesung interessiert

Ansonsten da man fuer Horizon ja SnS bezahlt.... .einfach ein #SR aufmachen.

Gruss
Joerg

[Whitemoon]

Genau aus dem selben Grund wollte ich ein Update auf die neuste Version des UAGs durchführen und anschließend den Workaround für Log4j anweden.

Einen SR bei GSS kann ich aktuell leider nicht eröffnen. Seit der Zusammenfühung unseres Accounts vor einigen Wochen stimmt sozusagen nichts mehr. Davon betroffen - wie soll es auch anders sein -unsere Horizon SnS. Da es kein Notfall ist, möchte ich ungern den zugeteiltgen Notfallkontakt dafür in Anspruch nehmen.

Hast du evtl. die Möglichkeit und Zeit dem aktiv bei VMware nachzugehen?

[irix]

Ja ich koennte.... aber Zeit hab ich gerade keine .... mal von Jahresendrally mit schlechtem Geschaefft und log4j mal abgesehen.

Der Workaround tut auch fuer 2009 (ist die aelteste Version fuer die sie einen anbieten).


Aktuell beschweren sich die User das sie mit ihrer Aufloesung von 3540x1600 Pixel nicht ueber das UAG kommen, bzw. hinterher passen die Aufloesung nicht. Wenn sie den internen Connection Server (ueber VPN) verwenden dann tut alles. Ich kann mich aber garnicht erinnern das man das pro GW einstellen konnte. *Seufz*

Gruss
Joerg

[Whitemoon]

Kein Problem. Wir sind mit der Beobachung auf jeden Fall nicht alleine:
https://communities.vmware.com/t5/Horiz ... -p/2856605

Aktuell beschweren sich die User das sie mit ihrer Aufloesung von 3540x1600 Pixel nicht ueber das UAG kommen, bzw. hinterher passen die Aufloesung nicht.

Tritt das Problem erst durch die Wiederherstellung des UAG auf? Welche Auflösung wird "hinterher" genutzt?

Wenn sie den internen Connection Server (ueber VPN) verwenden dann tut alles. Ich kann mich aber garnicht erinnern das man das pro GW einstellen konnte. *Seufz*

Kann man auch nicht. Die Auflösung wird a) durch den Pool oder/und b) durch die Einstellungen im Pool und/oder c) durch die Grafikkarte der VM vorgegeben.

[irix]

Aktuell hat er wohl einen Screen mit 5260x2600 oder was auch immer. Das tut ohne Probleme mit dem Windows Connection Server intern und wenn er das gleiche ueber UAG macht dann kommt er mit 2000/3000xX raus also bedeutend kleiner. An der GFX der VM kannst nicht liegen da es ja ueber intern tut.

Leider sind die Aussagen obs schon mal und wann zum letzten Male es denn auch funktioniert hat etwas "schammig". Gestern ging es noch!. Ich habe nicht geaendert! Ich kann mir das gar nicht erklaeren und das war noch nie so!

Also die ueblichen fundierten Aussagen zu einer Problembeschreibung

[Whitemoon]

Eine präzise Beschreibung wäre auch zu viel des Guten.

Ich vermute mal der Zugriff erfolgt nicht per Browser, sondern mit Hilfe des VMware Horizon Clients. Da gab es vor kurzem ein größeres Update. Evtl. liegt hier der Hase im Pfeffer. In unserer KB hat ein Kollege ein ähnliches Verhalten dokumentiert. Damals hat es ausgereicht die betroffene VM auszuschalten, kurz warten und wieder einschalten. Danach war die Darstellung wieder korrekt.

Kannst du das Problem mit einer Test-VM und Test-Benutzer bzw. der User VM nachstellen?

[irix]

Mal richtig ausmachen kann ich machen. Der User selber hat nur ueber Windows mal neugebootet.

Gruss
Joerg

[Whitemoon]

Ich habe heute endlich den Support Case dafür erstellen können. Bin inzwischen aber nicht schlauer geworden. Alle meine Tests und Versuche verliefen im Sand. Ich bin auf die Antwort des GSS sehr gespannt...

[irix]

Waere ja fuer das log4j Drama prima gewesen. Ich bin manuell von 2009 auf 2111.1 gegangen.

Gruss
Joerg

[Whitemoon]

Hatte so eben eine längere Unterhaltung mit dem GSS. Die Funktion ist nicht dafür gedacht, um Upgrades durchzuführen. Sondern dient "nur" dazu Updates zur Verfügung stellen, welche man nicht über einen Workaround beheben kann. Steht auch so mehr oder weniger in der Dokumentation.

Code: Alles auswählen

Occasionally, VMware might authorize the update of one or more OS packages to rectify a critical vulnerability that affects a specific version of Unified Access Gateway and for which no viable workaround is available.

Quelle: https://docs.vmware.com/en/Unified-Acce ... C7CF9.html

Das heißt auch künftige Release Wechsel sind manuell durchzuführen. Schade eigentlich...