Диагностика и устранение неисправностей on Alertix NTA

Типовые проблемы

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Типовые проблемы при установке

Проблема Причина Решение

Проблема	Причина	Решение
Часть служб не запустилась	Отказ `sensor-ipc` блокирует запуск зависящих от неё служб; отдельная служба также может не запуститься из-за некорректного JSON-файла.	Найдите службу со статусом `failed` командой `systemctl status 'sensor-*'`. Если отказала `sensor-ipc`, сначала устраните причину по её журналу: `journalctl -u sensor-ipc -b`. Для другой службы проверьте её журнал и синтаксис соответствующего файла из `/opt/alertixnta/config/`, затем перезапустите `sensor.target`.
После установки пакета или обновления ядра не запускается `sensor-ipc`	Модуль `ipc_engine` собирается для работающего ядра при запуске службы. Не хватает средств сборки или заголовков нужной версии; при Secure Boot модуль может не загрузиться без зарегистрированного ключа.	Проверьте `journalctl -u sensor-ipc -b` и наличие `/lib/modules/$(uname -r)/build`. Сообщение `Error building driver` указывает на ошибку сборки; проверьте компилятор и заголовки текущего ядра. При ошибке загрузки подписанного модуля проверьте `mokutil --sb-state` и регистрацию ключа MOK. После устранения причины перезапустите `sensor.target` и проверьте модуль командой `lsmod`.
В журнале `sensor-ipc` сообщение `Error unpack driver sources`	Не удалось распаковать исходные тексты модуля из `ipc-driver.tar.gz`.	Проверьте наличие архива в `/opt/alertixnta/` и свободное место командой `df -h /opt/alertixnta`. Если архив отсутствует, переустановите пакет Alertix-NTA.
Alertix-NTA не видит трафик: счётчики пакетов равны нулю	После первого запуска все обнаруженные интерфейсы в `networkAdapters` выключены; возможно, выбран не тот интерфейс или на него не поступает зеркалированный трафик SPAN/TAP.	В `/opt/alertixnta/config/ethercap.json` включите `enabled: true` только у интерфейса захвата, затем перезапустите `sensor.target`. Проверьте его состояние командой `ip link show`, поступление пакетов — `tcpdump -i <интерфейс> -c 10`, запуск захвата — по новым записям в `/opt/alertixnta/log/ethcap.log`.
Потери пакетов после запуска захвата	Недостаточно ресурсов процессора, драйвер или адаптер работает с ошибками, либо переполнены буферы приёма.	Сверьте счётчики потерь в `/opt/alertixnta/ipc_counters` и статистику адаптера `ethtool -S <интерфейс>` (`rx_dropped`, `rx_errors`). Проверьте загрузку процессора и параметры очередей адаптера до изменения настроек захвата.
События не доставляются	Ошибка профиля передачи.	Проверьте `/opt/alertixnta/log/transfer.log` и `!stat-transfer.log`.
Лицензия не принята или Alertix-NTA работает в демонстрационном режиме	Файл лицензии отсутствует или повреждён, UHID изменился после замены оборудования либо установленная версия выпущена позже окончания доступа к обновлениям.	Получите UHID командой `/opt/alertixnta/uhid -i` и сверьте его с лицензией. Проверьте сообщения о лицензии в `/opt/alertixnta/log/analyser.log`. Если журнал сообщает `Last available version according to your license`, используйте допустимую версию или обновите право на новые версии.

Часть служб не запустилась

Отказ sensor-ipc блокирует запуск зависящих от неё служб; отдельная служба также может не запуститься из-за некорректного JSON-файла.

Найдите службу со статусом failed командой systemctl status 'sensor-*'. Если отказала sensor-ipc, сначала устраните причину по её журналу: journalctl -u sensor-ipc -b. Для другой службы проверьте её журнал и синтаксис соответствующего файла из /opt/alertixnta/config/, затем перезапустите sensor.target.

После установки пакета или обновления ядра не запускается sensor-ipc

Модуль ipc_engine собирается для работающего ядра при запуске службы. Не хватает средств сборки или заголовков нужной версии; при Secure Boot модуль может не загрузиться без зарегистрированного ключа.

Проверьте journalctl -u sensor-ipc -b и наличие /lib/modules/$(uname -r)/build. Сообщение Error building driver указывает на ошибку сборки; проверьте компилятор и заголовки текущего ядра. При ошибке загрузки подписанного модуля проверьте mokutil --sb-state и регистрацию ключа MOK. После устранения причины перезапустите sensor.target и проверьте модуль командой lsmod.

В журнале sensor-ipc сообщение Error unpack driver sources

Не удалось распаковать исходные тексты модуля из ipc-driver.tar.gz.

Проверьте наличие архива в /opt/alertixnta/ и свободное место командой df -h /opt/alertixnta. Если архив отсутствует, переустановите пакет Alertix-NTA.

Alertix-NTA не видит трафик: счётчики пакетов равны нулю

После первого запуска все обнаруженные интерфейсы в networkAdapters выключены; возможно, выбран не тот интерфейс или на него не поступает зеркалированный трафик SPAN/TAP.

В /opt/alertixnta/config/ethercap.json включите enabled: true только у интерфейса захвата, затем перезапустите sensor.target. Проверьте его состояние командой ip link show, поступление пакетов — tcpdump -i <интерфейс> -c 10, запуск захвата — по новым записям в /opt/alertixnta/log/ethcap.log.

Потери пакетов после запуска захвата

Недостаточно ресурсов процессора, драйвер или адаптер работает с ошибками, либо переполнены буферы приёма.

Сверьте счётчики потерь в /opt/alertixnta/ipc_counters и статистику адаптера ethtool -S <интерфейс> (rx_dropped, rx_errors). Проверьте загрузку процессора и параметры очередей адаптера до изменения настроек захвата.

События не доставляются

Ошибка профиля передачи.

Проверьте /opt/alertixnta/log/transfer.log и !stat-transfer.log.

Лицензия не принята или Alertix-NTA работает в демонстрационном режиме

Файл лицензии отсутствует или повреждён, UHID изменился после замены оборудования либо установленная версия выпущена позже окончания доступа к обновлениям.

Получите UHID командой /opt/alertixnta/uhid -i и сверьте его с лицензией. Проверьте сообщения о лицензии в /opt/alertixnta/log/analyser.log. Если журнал сообщает Last available version according to your license, используйте допустимую версию или обновите право на новые версии.

Сбор диагностической информации

Mon, 01 Jan 0001 00:00:00 +0000

Базовый комплект

Описание проблемы

К обращению приложите: суть проблемы, время возникновения, условия воспроизведения, ожидаемое и фактическое поведение, предшествующие действия (обновление пакета, правка конфигурации, смена ядра, изменение топологии), влияние на эксплуатацию.

Информация о системе

Версия пакета и ОС позволяют поддержке сверить поведение с известными проблемами сборки. Версия ядра критична для проблем с ipc_engine — модуль собирается под работающее ядро.

dpkg -l alertixnta # Debian/Ubuntu/Astra
rpm -q alertixnta # RHEL/Rocky/AlmaLinux/SberLinux
uname -a
cat /etc/os-release

Журналы

Журналы — основная часть комплекта: по ним локализуется звено конвейера, в котором возникла проблема.

Архив каталога журналов. Сохраняет хронологию целиком, включая ротированные копии в backup/.

sudo tar -zcvf /tmp/ngrsensor_logs.tar.gz /opt/alertixnta/log/

Журнал systemd. Сообщения sensor-ipc и sensor-manager есть только здесь; также фиксируются коды возврата при падении служб. Период выбирайте так, чтобы он охватывал момент инцидента и предшествующие 10–15 минут.

journalctl -u sensor-analyser.service --since "1 day ago" \
 > /tmp/analyser_journal.log
journalctl -u sensor-ipc -u sensor-manager -b \
 > /tmp/ipc_manager_journal.log
journalctl -u "sensor-*" --since "1 day ago" \
 > /tmp/sensor_journal.log

Сообщения ядра о модуле IPC. При успешной загрузке — строки [IPC-ENGINE] loading… и [IPC-ENGINE] loaded.; их отсутствие при загруженном модуле указывает на ошибку инициализации.

sudo dmesg | grep -i 'ipc.engine' | tail -20

Статус служб

Снимок фиксирует, какие службы работают, а какие в failed/inactive, — первичный признак локальной или каскадной проблемы. В выводе смотрите Active:, Main PID, Tasks, Memory и последние записи журнала.

sudo systemctl status 'sensor-*.service' > /tmp/services_status.txt

Восемь из десяти служб без модуля ipc_engine не стартуют (lsmod | grep ipc_engine). Если в юнитах директива ExecStart всё ещё указывает на /opt/alertixnta/sensor_<имя>, скорректируйте путь и выполните systemctl daemon-reload.

Ресурсы

Снимок в момент инцидента отделяет проблему конфигурации от проблемы инфраструктуры. Столбец available в free -h важен: ipc_engine выделяет буферы IPC-каналов при старте служб. Раздел с /opt/alertixnta/ проверяйте отдельно — каталоги retrans/ и filedrop/ растут при недоступности получателя.

top -b -n 1 > /tmp/top.txt
free -h > /tmp/memory.txt
df -h > /tmp/disk.txt
sudo /opt/alertixnta/ipc_counters > /tmp/ipc_counters.txt 2>&1

ipc_counters содержит lost_packets, resource_exceeding, transports/msg_sent_fail — по ним определяется узкое место.

Конфигурация и правила

Сравнение рабочих файлов с шаблонами поставки показывает отличия от эталона.

sudo tar -czf /tmp/alertixnta_config.tar.gz \
 /opt/alertixnta/config/*.json \
 /opt/alertixnta/config/init/*-default
sudo tar -czf /tmp/alertixnta_scripts.tar.gz /opt/alertixnta/scripts/

Конкретное правило. Приложите исходный код Lua-скрипта из каталога стадии (an-detect/, an-prefilter/, an-postfilter/) и запись в workFlow.* файла analyser.json с её позицией — позиция влияет на порядок вызова детекторов.

Доставка. Приложите выдержку из transfer.json (без секретов — см. Обезличивание данных), вывод nc -zv <host> <port>, строки журнала и статистику профилей:

tail -n 200 /opt/alertixnta/log/transfer.log
cat '/opt/alertixnta/log/!stat-transfer.log'

ICAP. Приложите секции clients и network.listenAddresses файла icap.json, записи icap.log. При повторяющихся ошибках временно включите журналирование запросов ("requestLog": { "enabled": true, "httpEnabled": true, "channel": "icap-request" }) и выполните sudo systemctl reload sensor-icap; после диагностики верните параметр в исходное состояние.

REST API. Приложите параметры проблемного профиля rapi.json (без ключей), tail -n 100 /opt/alertixnta/log/rapi.log, вывод ls -la /opt/alertixnta/certs/ и openssl x509 -in /opt/alertixnta/certs/<сертификат>.pem -noout -dates.

Сетевой трафик

При воспроизводимой проблеме на конкретном трафике приложите PCAP:

sudo tcpdump -i <интерфейс> -w /tmp/capture.pcap -c 1000

Либо файл из /opt/alertixnta/data/capdrop/ (запись через Traffic Record или профиль filedrop-pcap).

Запись может содержать конфиденциальные данные. Ограничьте её только необходимым трафиком и выполните требования Обезличивание данных.