Диагностика неисправностей on Alertix NTA

Последовательность поиска

Mon, 01 Jan 0001 00:00:00 +0000

Диагностику начинайте с конкретного ожидаемого результата: какое событие должно было появиться, от какого узла и в какое время. Затем двигайтесь от источника к получателю. Одновременная правка фильтров, детекторов и доставки затрудняет установление причины и проверку исправления.

Источник: трафик или файл действительно поступил на нужный адаптер либо endpoint.
Захват: источник включён, фильтры пропускают данные, потери и ограничения не мешают обработке.
Анализ: нужный парсер и правило загружены; события не отбрасываются на предыдущих стадиях.
Канал и маршрут: результат опубликован, есть читатель, профиль назначен или подписан на правильный подканал.
Транспорт: получатель доступен, формат и TLS согласованы, квоты не остановили сохранение.
Приёмник: событие найдено по правильному времени и успешно разобрано.

Типовые симптомы

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Неисправности запуска и захвата

Симптом	Что проверить	Действие
Служба не запускается	journalctl, JSON, права, лицензия, IPC	Исправьте первую предметную ошибку; после изменения повторите запуск и контроль.
Нет пакетов	SPAN/TAP, физический порт, MAC и enabled	Сопоставьте порт с networkAdapters; проверьте счётчики ОС и ethcap.log.
Пакеты есть, событий нет	BPF, парсер, L1–L3, лицензия, tcpLimits	Найдите самый ранний этап отбрасывания; используйте известный протокол и контрольную запись.
Часть сессий неполная	Односторонний поток, потери, дубликаты	Проверьте зеркало обоих направлений и статистику адаптера.
Растёт resource_exceeding	Количество сессий и ограничения	Проверьте память и нагрузку до повышения порогов.
DPDK не видит порт	Пакет, драйвер, привязка, hugepages	Проверьте подготовку окружения и DPDK-записи ethcap.log.
После правки ничего не изменилось	Журнал чтения и матрица применения	Проверьте, не отклонён ли файл и не требуется ли restart.

Симптом

Что проверить

Действие

Служба не запускается

journalctl, JSON, права, лицензия, IPC

Исправьте первую предметную ошибку; после изменения повторите запуск и контроль.

Нет пакетов

SPAN/TAP, физический порт, MAC и enabled

Сопоставьте порт с networkAdapters; проверьте счётчики ОС и ethcap.log.

Пакеты есть, событий нет

BPF, парсер, L1–L3, лицензия, tcpLimits

Найдите самый ранний этап отбрасывания; используйте известный протокол и контрольную запись.

Часть сессий неполная

Односторонний поток, потери, дубликаты

Проверьте зеркало обоих направлений и статистику адаптера.

Растёт resource_exceeding

Количество сессий и ограничения

Проверьте память и нагрузку до повышения порогов.

DPDK не видит порт

Пакет, драйвер, привязка, hugepages

Проверьте подготовку окружения и DPDK-записи ethcap.log.

После правки ничего не изменилось

Журнал чтения и матрица применения

Проверьте, не отклонён ли файл и не требуется ли restart.

Таблица. Неисправности PCAP ICAP и анализа

Материалы для разбора инцидента

Mon, 01 Jan 0001 00:00:00 +0000

Подготовьте время и часовой пояс, описание ожидаемого и фактического результата, версии пакета и ядра, состояние служб, последние изменения и журналы соответствующего интервала. Приложите обезличенный фрагмент конфигурации и, если допустимо, минимальную контрольную запись. Для сетевого сбоя также полезна схема прохождения трафика до адаптера или приёмника.

Перед передачей материалов удалите пароли, API-ключи, закрытые ключи и не относящееся к задаче содержимое пользовательских сообщений. Сохраняйте технические связи между адресами и событиями так, чтобы после обезличивания можно было воспроизвести проблему. Не ограничивайтесь снимком одной ошибки, если для неё важны сообщения запуска или применения конфигурации.