提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

问题概述:windows-agenti离线可能原因和排查思路概述

|

问题描述

1、在mgr的终端管理根据IP搜索无法找到或终端状态显示离线,在终端打开agent的UI界面显示接入异常或未授权,则为离线问题

告警信息

可能原因:
1、agent到管理平台连通性异常
2、终端系统版本不在兼容性列表
3、确认是否为windows防火墙拦截
4、8071端口被占用或进程异常
5、加密工具加密EDR文件导致

有效排查步骤

1、通过打开windows的cmd窗口,通过“telnet  EDR管理平台地址 8083”命令确认agent到管理平台的8083端口是否正常,如下图

如端口测试不通,需要检查内网主机到管理平台中间是否存在其他设备拦截或存在路由不通问题
2、确认系统版本是否支持安装EDR,目前支持安装agent的windows系统如下:
win vista x86/x64
win xpSP3
win7 x86/x64
win8 x86/x64
win8.1 x86/x64
win10 x86/x64
win11 x64
win server 2003sp2 x86/x64
win server 2008sp2 x86/x64
win server 2008R2 x64
win server 2012 x64
win server 2012R2 x64
win server 2016 x64
win server 2019 x64
3、确认是否为windows防火墙拦截
如windows终端有开启防火墙,可以尝试先关闭windows防火墙,观察几分钟看终端是否正常在线(以windows7为例:防火墙配置在“控制面板\系统和安全\Windows 防火墙”中)
如关闭后终端正常在线,可以参考如下配置进行放通:
首先打开防火墙管理的界面,如下图:

打开允许程序或功能通过防火墙,选择edr的ipc_proxy.exe并添加,如下图:

勾选对应网络后并提交(或者都勾上),如下图:
4、可使用agent进程端口占用校验工具进行简单分析,工具如下:
agent_check.rar (5.47 MB, 下载次数: 89)
如检测到8071端口被占用,需要确认进程是否为system,system进程可以尝试重启windows系统解决,如是其他进程占用可尝试关闭对应进程服务看EDR是否恢复正常。
5、检查终端上是否有第三方加密软件,如存在加密软件可以在加密软件上将edr安装目录加白确认是否正常,EDR默认安装路径为:“C:\Program Files\Sangfor\edr”
注:EDR同步在线机制需要几分钟周期,调整后需要稍作等待观察

解决方案

以上步骤未解决您的问题,联系技术支持建议提供以下信息
1、问题现象(如:安装之后出现、重启电脑后出现等等):
2、问题影响范围(单终端还是多终端,多个linux或多个windows等):
3、离线发生时间:
4、离线前做过的操作:
5、终端系统版本和MGR版本信息:
您可以通过关注微信公众号【深信服技术服务】自助提单或者拨打400-630-6430提单

操作影响范围

我要分享
文档编号: 219617
作者: admin
更新时间: 2023-03-31 14:31
适用版本: