OSSEC Agent和Server無法連接配接的常用檢查流程

若Agent和Server無法連接配接，下面是常用檢查流程。

檢查網絡是否連通

ping serverIP
           

重新開機server和agent

sudo /var/ossec/bin/ossec-control restart
           

檢查rids檔案夾

OSSEC依賴rids檔案夾實作同步。

server端/var/ossec/queue/rids 檔案夾下應該儲存有每個agent ID号同名的檔案。

假如有兩台agent（ID分别為001、002）同時連接配接成功，那麼檔案目錄應為：

[email protected]:/var/ossec/queue/rids# ls
001  002  sender_counter
           

若一直沒有對應檔案，那麼就把server端rids檔案夾清空再重新開機server、agent：

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
           

用agent_control -l指令，檢視agent清單，均已正常連接配接：

[email protected]:/var/ossec/queue/rids# sudo /var/ossec/bin/agent_control -l

OSSEC HIDS agent_control. List of available agents:
   ID: 000, Name: ubuntu (server), IP: 127.0.0.1, Active/Local
   ID: 001, Name: a1, IP: 172.16.252.133, Active
   ID: 002, Name: winA, IP: 172.16.252.131, Active
           

檢查log

檢查ossec.log看是否有報錯。

• linux：

sudo vim /var/ossec/logs/ossec.log
           

• win：

打開Agent Manager圖形界面—菜單欄View—View Logs

ossec-remoted(1403)錯誤

server的log出現下面錯誤：

大多是驗證秘鑰問題，agent key、ip等與server記錄的不比對。

解決方法：

1. server端清空rids檔案夾重新開機

sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
           

或：

1. 重新生成agent，重新導入key