Часть служб не запустилась | Отказ sensor-ipc блокирует запуск зависящих от неё служб; отдельная служба также может не запуститься из-за некорректного JSON-файла. | Найдите службу со статусом failed командой systemctl status 'sensor-*'. Если отказала sensor-ipc, сначала устраните причину по её журналу: journalctl -u sensor-ipc -b. Для другой службы проверьте её журнал и синтаксис соответствующего файла из /opt/alertixnta/config/, затем перезапустите sensor.target. |
После установки пакета или обновления ядра не запускается sensor-ipc | Модуль ipc_engine собирается для работающего ядра при запуске службы. Не хватает средств сборки или заголовков нужной версии; при Secure Boot модуль может не загрузиться без зарегистрированного ключа. | Проверьте journalctl -u sensor-ipc -b и наличие /lib/modules/$(uname -r)/build. Сообщение Error building driver указывает на ошибку сборки; проверьте компилятор и заголовки текущего ядра. При ошибке загрузки подписанного модуля проверьте mokutil --sb-state и регистрацию ключа MOK. После устранения причины перезапустите sensor.target и проверьте модуль командой lsmod. |
В журнале sensor-ipc сообщение Error unpack driver sources | Не удалось распаковать исходные тексты модуля из ipc-driver.tar.gz. | Проверьте наличие архива в /opt/alertixnta/ и свободное место командой df -h /opt/alertixnta. Если архив отсутствует, переустановите пакет Alertix-NTA. |
Alertix-NTA не видит трафик: счётчики пакетов равны нулю | После первого запуска все обнаруженные интерфейсы в networkAdapters выключены; возможно, выбран не тот интерфейс или на него не поступает зеркалированный трафик SPAN/TAP. | В /opt/alertixnta/config/ethercap.json включите enabled: true только у интерфейса захвата, затем перезапустите sensor.target. Проверьте его состояние командой ip link show, поступление пакетов — tcpdump -i <интерфейс> -c 10, запуск захвата — по новым записям в /opt/alertixnta/log/ethcap.log. |
Потери пакетов после запуска захвата | Недостаточно ресурсов процессора, драйвер или адаптер работает с ошибками, либо переполнены буферы приёма. | Сверьте счётчики потерь в /opt/alertixnta/ipc_counters и статистику адаптера ethtool -S <интерфейс> (rx_dropped, rx_errors). Проверьте загрузку процессора и параметры очередей адаптера до изменения настроек захвата. |
События не доставляются | Ошибка профиля передачи. | Проверьте /opt/alertixnta/log/transfer.log и !stat-transfer.log. |
Лицензия не принята или Alertix-NTA работает в демонстрационном режиме | Файл лицензии отсутствует или повреждён, UHID изменился после замены оборудования либо установленная версия выпущена позже окончания доступа к обновлениям. | Получите UHID командой /opt/alertixnta/uhid -i и сверьте его с лицензией. Проверьте сообщения о лицензии в /opt/alertixnta/log/analyser.log. Если журнал сообщает Last available version according to your license, используйте допустимую версию или обновите право на новые версии. |