排查常见问题

支持的平台：

Google SecOps SOAR

本文档提供了一系列提示和程序，可帮助您诊断和解决在部署和运行 Google Security Operations 远程代理时遇到的常见问题。

密钥不匹配问题

如果 Google Security Operations 和远程代理中的私钥不匹配，就会出现此问题。如需解决此问题，请确保代理资源中的密钥与 Siemplify agent_db 中的密钥一致。

如果远程连接器失败，请按以下步骤操作：

如果由于 glibc 跟踪错误和系统调用阻塞而导致全新安装或自动升级失败，请按以下步骤操作：

如果重新运行容器设置命令时，系统意外拉取了之前的操作层，而不是新发布的软件 build，请运行以下命令来明确拉取最新映像：

如果 Docker 部署失败，请按以下步骤操作：

移除 Docker 容器：
1. 运行以下命令以列出正在运行的容器：
  docker ps
2. 运行以下命令以移除失败的容器：
  docker rm -f container_id_or_name
移除图片：
1. 运行以下命令以列出映像：
  docker images
2. 运行以下命令以移除映像：
  docker rmi image_id_or_name
移除卷：
1. 运行以下命令以列出卷：
  docker volume ls
2. 运行以下命令以移除卷：
  docker volume rm volume_name
重新部署代理。如需了解详情，请参阅使用 Docker 创建代理。

如果代理已成功部署，但状态仍为“等待代理”，请按以下步骤排查问题：

检查宿主机连接：测试代理宿主机机器的互联网连接（例如 curl www.google.com 或 ping 8.8.8.8）。如果此测试失败，则问题出在宿主机的互联网连接上。
检查容器连接：如果主机测试通过，请使用 docker exec -it container_ID bash 进入容器 shell 并重新检查连接。如果容器无法连接，请重启宿主机上的 Docker 服务 (service docker restart)。
1. 运行以下命令：
  
  docker exec -it bash
2. 像之前一样再次检查连接。
3. 如果没有连接，请在主机（而非容器）上运行以下命令，以重启 Docker 服务：
  service docker restart
4. 运行以下命令以再次启动容器：
  
  docker start
查看容器日志是否存在错误

如果上一步没有帮助，并且在 Google SecOps 中刷新远程代理页面后，代理状态仍然是“等待代理”，请重新登录容器并拉取日志。
1. 在 /var/log/SiemplifyAgent/ 目录中查找日志。
2. 在日志文件中查找任何错误，以确定根本原因。

如果您在尝试加载 Google SecOps Docker 映像（系统）或代理时在 CLI 中看到错误，则可能是 IP4 转发处于停用状态。请按以下步骤启用此功能并重启代理：

将以下代码行添加到 /etc/sysctl.conf 文件中：
net.ipv4.ip_forward=1 请注意，您需要使用文件编辑器（例如 nano，使用方法如下： yum install nano -y
运行以下命令以重启网络服务：
systemctl restart network
运行以下命令以重启 Docker 服务：
sudo systemctl restart docker
运行以下命令，检查容器是否正在运行：
docker ps
如果容器未运行，请运行以下命令以列出所有容器（包括已停止的容器）：
docker ps -a
如果容器已列出但已停止，请运行以下命令来启动它：
docker start container_id_or_name
如果在重启 Docker 和容器后，代理或系统仍未运行，请执行以下操作：
1. 运行以下命令以停止容器：
  docker stop container_id_or_name
2. 运行以下命令以删除容器：
  docker rm container_id_or_name
3. 运行以下命令可删除映像：
  docker rmi image_name
4. 再次加载图片。

运行以下命令以强制启动安装程序代理：
systemctl start supervisord

运行以下命令以强制启动 Docker 代理：
docker start