疑難排解常見問題

支援語言：

Google SecOps SOAR

本文提供一系列提示和程序，協助您診斷並解決部署和運作 Google Security Operations Remote Agent 時遇到的常見問題。

金鑰不符問題

如果 Google Security Operations 和遠端代理程式中的私密金鑰不相符，就會發生這個問題。如要解決這個問題，請確認代理程式資源中的金鑰與 Siemplify agent_db 中的金鑰相符。

如果遠端連接器失敗，請按照下列步驟操作：

如果 glibc 追蹤錯誤和系統呼叫封鎖導致全新安裝或自動升級失敗，請按照下列步驟操作：

如果重新執行容器設定指令時，系統不慎提取先前的作業層，而非新發布的軟體建構版本，請執行下列指令，明確提取最新映像檔：

如果 Docker 部署作業失敗，請按照下列步驟操作：

移除 Docker 容器：
1. 執行下列指令，列出執行中的容器：
  docker ps
2. 執行下列指令，移除失敗的容器：
  docker rm -f container_id_or_name
移除圖片：
1. 執行下列指令來列出映像檔：
  docker images
2. 執行下列指令來移除映像檔：
  docker rmi image_id_or_name
移除磁碟區：
1. 執行下列指令，列出磁碟區：
  docker volume ls
2. 執行下列指令來移除磁碟區：
  docker volume rm volume_name
重新部署代理程式。詳情請參閱「使用 Docker 建立代理程式」。

如果代理程式已成功部署，但狀態仍為「等待代理程式」，請按照下列步驟排解問題：

檢查主機連線：測試 Agent 主機的網際網路連線 (例如 curl www.google.com 或 ping 8.8.8.8)。如果測試失敗，問題出在主機的網際網路連線。
檢查容器連線：如果主機測試通過，請使用 docker exec -it container_ID bash 輸入容器殼層，然後重新檢查連線。如果容器無法連線，請在主體機器上重新啟動 Docker 服務 (service docker restart)。
1. 執行下列指令：
  
  docker exec -it bash
2. 再次檢查連線狀態，方法與先前相同。
3. 如果沒有連線，請從主機 (而非容器) 執行下列指令，重新啟動 Docker 服務：
  service docker restart
4. 執行下列指令，再次啟動容器：
  
  docker start
查看容器記錄是否有錯誤

如果上一個步驟沒有幫助，且重新整理 Google SecOps 中的「Remote agent」(遠端代理程式) 頁面後，代理程式狀態仍為「waiting for agent」(等待代理程式)，請重新登入容器並提取記錄。
1. 在 /var/log/SiemplifyAgent/ 目錄中找出記錄。
2. 查看記錄檔是否有任何錯誤，找出根本原因。

嘗試載入 Google SecOps Docker 映像檔 (系統) 或代理程式時，如果 CLI 顯示錯誤，可能是因為 IP4 轉送已停用。請按照下列步驟啟用這項功能並重新啟動代理程式：

在 /etc/sysctl.conf 檔案中新增下列程式碼：
net.ipv4.ip_forward=1 請注意，您需要使用檔案編輯器 (例如 nano)： yum install nano -y
執行下列指令，重新啟動網路服務：
systemctl restart network
執行下列指令，重新啟動 Docker 服務：
sudo systemctl restart docker
執行下列指令，檢查容器是否正在執行：
docker ps
如果容器未執行，請執行下列指令，列出所有容器 (包括已停止的容器)：
docker ps -a
如果容器已列出但已停止，請執行下列指令來啟動容器：
docker start container_id_or_name
如果重新啟動 Docker 和容器後，代理程式或系統仍未執行：
1. 執行下列指令停止容器：
  docker stop container_id_or_name
2. 執行下列指令來刪除容器：
  docker rm container_id_or_name
3. 執行下列指令來刪除映像檔：
  docker rmi image_name
4. 再次載入圖片。

執行下列指令，強制啟動安裝程式代理程式：
systemctl start supervisord

執行下列指令，強制啟動 Docker 代理程式：
docker start