排查远程代理问题

支持：

Google secops SOAR

本文档提供了一系列提示和程序，可帮助您诊断和解决在部署和运行 Google Security Operations 远程代理时遇到的常见问题。

密钥不匹配问题

如果 Google Security Operations 和远程代理中的私钥不匹配，就会出现此问题。如需解决此问题，请确保代理资源中的密钥与 Siemplify agent_db 中的密钥匹配。

如果远程连接器发生故障，请按以下步骤操作：

如果 Docker 部署失败，请按以下步骤操作：

移除 Docker 容器：
1. 运行以下命令以列出正在运行的容器：
  docker ps
2. 运行以下命令以移除失败的容器：
  docker rm -f container_id_or_name
移除映像：
1. 运行以下命令以列出映像：
  docker images
2. 运行以下命令以移除映像：
  docker rmi image_id_or_name
移除卷：
1. 运行以下命令以列出卷：
  docker volume ls
2. 运行以下命令以移除卷：
  docker volume rm volume_name
重新部署代理。如需了解详情，请参阅使用 Docker 创建代理。

如果代理已成功部署，但状态仍为“等待代理”，请按以下步骤排查问题：

检查宿主机连接：测试代理宿主机机器的互联网连接（例如 curl www.google.com 或 ping 8.8.8.8）。如果此测试失败，则问题出在宿主机的互联网连接上。
检查容器连接：如果主机测试通过，请使用 docker exec -it container_ID bash 进入容器 shell 并重新检查连接。如果容器缺少连接，请在宿主机上重启 Docker 服务 (service docker restart)。
1. 运行以下命令：
  
  docker exec -it bash
2. 按照之前的方式再次检查连接。
3. 如果没有连接，请运行以下命令以从主机机器（而非容器）重启 Docker 服务：
  service docker restart
4. 运行以下命令以再次启动容器：
  
  docker start
查看容器日志是否存在错误

如果上一步没有帮助，并且在 Google SecOps 中刷新远程代理 页面后，代理状态仍然是“等待代理”，请重新登录容器并提取日志。
1. 在 /var/log/SiemplifyAgent/ 目录中查找日志。
2. 在日志文件中查找任何错误，以确定根本原因。

如果您在尝试加载 Google SecOps Docker 映像（系统）或代理时在 CLI 中看到错误，则可能是 IP4 转发已停用。请按以下步骤启用它并重启代理：

将以下行添加到 /etc/sysctl.conf 文件：
net.ipv4.ip_forward=1 请注意，您需要使用文件编辑器（例如 nano，使用： yum install nano -y
运行以下命令以重启网络服务：
systemctl restart network
运行以下命令以重启 Docker 服务：
sudo systemctl restart docker
运行以下命令以检查容器是否正在运行：
docker ps
如果容器未运行，请运行以下命令以列出所有容器（包括已停止的容器）：
docker ps -a
如果容器已列出但已停止，请运行以下命令以启动它：
docker start container_id_or_name
如果在重启 Docker 和容器后，代理或系统仍未运行：
1. 运行以下命令以停止容器：
  docker stop container_id_or_name
2. 运行以下命令以删除容器：
  docker rm container_id_or_name
3. 运行以下命令以删除映像：
  docker rmi image_name
4. 再次加载映像。

运行以下命令以强制启动安装程序代理：
systemctl start supervisord

运行以下命令以强制启动 Docker 代理：
docker start

如果之前启动的升级未成功完成，并且远程代理版本未更改，请等待 15 分钟，然后在 Google Security Operations 中刷新远程代理 页面。然后，您可以重新启动升级。