疑難排解遠端代理程式問題

支援：

Google SecOps SOAR

本文提供一系列提示和程序，協助您診斷並解決部署和運作 Google Security Operations Remote Agent 時遇到的常見問題。

金鑰不符問題

如果 Google Security Operations 和遠端代理程式中的私密金鑰不符，就會發生這個問題。如要解決這個問題，請確認代理資源中的金鑰與 Siemplify agent_db 中的金鑰相符。

遠端連接器故障

如果遠端連接器發生故障，請按照下列步驟操作：

1. 確認整合執行個體已成功安裝在代理程式上。
2. 請檢查錯誤層級的代理程式記錄，找出連線程序中的任何失敗。
3. 在本機測試相同的連接器設定，看看是否有錯誤。

Docker 代理程式部署失敗

如果 Docker 部署作業失敗，請按照下列步驟操作：

1. 移除 Docker 容器：

   1. 執行下列指令，列出執行中的容器：

      docker ps 

   2. 執行下列指令，移除失敗的容器：

      docker rm -f container_id_or_name
2. 移除圖片：

   1. 執行下列指令，列出映像檔：

      docker images 

   2. 執行下列指令來移除映像檔：

      docker rmi image_id_or_name
3. 移除磁碟區：

   1. 執行下列指令來列出磁碟區：

      docker volume ls

   2. 執行下列指令，移除磁碟區：

      docker volume rm volume_name
4. 重新部署代理。詳情請參閱「使用 Docker 建立代理程式」。

代理程式停留在「等待代理程式」狀態

如果代理程式已成功部署，但狀態仍為「等待代理程式」，請按照下列步驟排解問題：

1. 檢查主機連線能力：測試代理程式主體機器的網際網路連線能力 (例如 curl www.google.com 或 ping 8.8.8.8)。如果失敗，表示主機的網際網路連線有問題。

2. 檢查容器連線能力：如果主機測試通過，請使用 docker exec -it container_ID bash 輸入容器殼層，然後重新檢查連線能力。如果容器無法連線，請重新啟動主體機器上的 Docker 服務 (service docker restart)。

   1. 執行下列指令：

      docker exec -it bash

   2. 請再次檢查連線狀態，方法與先前相同。
   3. 如果沒有連線能力，請執行下列指令，從主體機器 (而非容器) 重新啟動 Docker 服務：

      service docker restart

   4. 執行下列指令，再次啟動容器：

      docker start

3. 查看容器記錄檔中的錯誤

   如果上一個步驟沒有幫助，且重新整理 Google SecOps 中的「Remote agent」(遠端代理程式) 頁面後，代理程式狀態仍為「waiting for agent」(等待代理程式)，請重新登入容器並提取記錄。

   1. 在 /var/log/SiemplifyAgent/ 目錄中尋找記錄。
   2. 在記錄檔中找出任何錯誤，找出根本原因。

Docker 映像檔無法載入 (IP4 轉送已停用)

嘗試載入 Google SecOps Docker 映像檔 (系統) 或代理程式時，如果 CLI 顯示錯誤，可能是因為 IP4 轉送已停用。請按照下列步驟啟用這項功能並重新啟動代理程式：

1. 在 /etc/sysctl.conf 檔案中新增下列程式碼：

   net.ipv4.ip_forward=1 請注意，您必須使用檔案編輯器 (例如 nano)，請使用： yum install nano -y
   

2. 執行下列指令，重新啟動網路服務：

   systemctl restart network

3. 執行下列指令，重新啟動 Docker 服務：

   sudo systemctl restart docker

4. 執行下列指令，確認容器是否正在運作：

   docker ps

5. 如果容器未運作，請執行下列指令，列出所有容器 (包括已停止的容器)：

   docker ps -a

6. 如果容器已列出但已停止，請執行下列指令來啟動容器：

   docker start container_id_or_name
7. 如果重新啟動 Docker 和容器後，代理程式或系統仍未執行：

   1. 執行下列指令來停止容器：

      docker stop container_id_or_name

   2. 執行下列指令來刪除容器：

      docker rm container_id_or_name

   3. 執行下列指令，刪除映像檔：

      docker rmi image_name
   4. 再次載入圖片。

關閉或重新啟動代理程式後發生錯誤

執行下列指令，強制啟動安裝程式代理程式：
systemctl start supervisord

執行下列指令，強制啟動 Docker 代理程式：
docker start

遠端代理程式升級失敗

如果先前啟動的升級作業未成功完成，且遠端代理程式版本未變更，請等待 15 分鐘，然後重新整理 Google Security Operations 的「遠端代理程式」頁面。然後重新啟動升級程序。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。