Problemy techniczne

Jakiś czas temu pisałem o współpracy z jednym z europejskich banków inwestycyjnych, gdzie wdrażana była infrastruktura do komunikacji traderów. Bank wybrał dla traderów rozwiązanie T4 Turrets jako urządzenia/tablety do komunikacji pomiędzy sobą. Turret’sy wykorzystują proxy TPO, a następnie następuję autentykacja po stronie serwera Skype for Business 2015 (autentyakcja poprzez Kerberosa).

Generalnie wszystko działa, ale….

Traderzy zaczynają pracę o godzinie 8:00, logują się do swoich systemów transakcyjnych i turret’sów. Równo o godzinie 16:00 pada komunikacja, czyli po 8 godzinach tradingu. Aby komunikacja pomiędzy traderami mogła zostać wznowiona, serwer Skype musi zostać zrestartowany, co wiąże się oczywiście z kilkuminutową przerwą w komunikacji traderów.
Jeśli serwer nie zostanie zrestartowany, komunikacja wznawiana jest po 30 minutach. Traderzy, którzy zaczynają handel o 6 rano, uwalani są o godzinie 14:00.

Żywotność ticketu Kerberosa w domenie banku ustawiona jest na 10 godzin.
Na serwerze Skype, MinValidityPeriodHours dla certyfikatów ustawiony jest na 12 godzin.
Zapytania do kontrolerów domeny lecą przez load balancery F5 BIG IP. Jednak ruch balansowany jest tylko na 2 DC (PDC i do zwykłego Global Catalogu). W domenie jest 48 kontrolerów domeny.

Na dwie godziny przed strzeleniem komunikacji, pojawiają się następujące logi na turret’sach:

Z czego najistotniejsza jest ostatnia linia. Final handshake failed „SIP Error Authentication, Stale Security Association”.

Może przypadkiem zagląda tutaj jakiś specjalista od IT i spotkał się kiedyś z czymś podobnym lub może podpowiedziałby, gdzie szukać źródla problemu.