常见问题解答
日志文件：
日志文件存储在 <install-location>/logs 或 <install-location>/log 文件夹。日志文件通过 Cisco Secure Workload 服务进行监控和轮换。
Agent 部署
Linux
rpm -Uvh tet-sensor-1.101.2-1.el6-dev.x86_64.rpm
error: cannot create transaction lock on /var/lib/rpm/.rpm.lock (Permission denied).
答：如果您没有安装代理的适当权限，请切换到根权限或使用 sudo 来安装代理。
问：运行“sudo rpm -Uvh tet-sensor-1.0.0-121.1b1bb546.el6-dev.x86_64.rpm”并遇到以下错误时，会发生什么情况：
Preparing... ########################################### [100%]
which: no lsb_release in (/sbin:/bin:/usr/sbin:/usr/bin:/usr/X11R6/bin)
error: %pre(tet-sensor-site-1.0.0-121.1b1bb546.x86_64) scriptlet failed, exit status 1
error: install: %pre scriptlet failed (2), skipping tet-sensor-site-1.0.0-121.1b1bb546
答：系统不符合安装代理的要求。在这种特定情况下，未安装 lsb_release 工具。
有关详细信息，请参阅软件代理部署标签部分，并安装所需的依赖关系。
问：运行“sudo rpm -Uvh tet-sensor-1.0.0-121.1b1bb546.el6-dev.x86_64.rpm”并遇到以下错误时，会发生什么情况：
Unsupported OS openSUSE project
error: %pre(tet-sensor-1.101.1-1.x86_64) scriptlet failed, exit status 1
error: tet-sensor-1.101.1-1.x86_64: install failed
warning: %post(tet-sensor-site-1.101.1-1.x86_64) scriptlet failed, exit status 1答：您的操作系统不支持运行软件代理（在此特定情况下，“openSUSE 项目”是不支持的平台）。
有关详细信息，请参阅“软件代理部署标签”部分。
问：在我安装了所有依赖关系并以适当权限运行安装程序后，没有出现任何错误。如何知道代理已安装成功？
答：要在安装代理后验证是否安装成功，请运行以下命令：
$ ps -ef | grep -e csw-agent -e tet-
root 14158 1 0 Apr03 ? 00:00:00 csw-agent
root 14160 14158 0 Apr03 ? 00:00:00 csw-agent watch_files
root 14161 14158 0 Apr03 ? 00:00:03 csw-agent check_conf
root 14162 14158 0 Apr03 ? 00:01:03 tet-sensor -f conf/.sensor_config
root 14163 14158 0 Apr03 ? 00:02:38 tet-main --sensoridfile=./sensor_id
root 14164 14158 0 Apr03 ? 00:00:22 tet-enforcer --logtostderr
tet-sen+ 14173 14164 0 Apr03 ? 00:00:21 tet-enforcer --logtostderr
tet-sen+ 14192 14162 0 Apr03 ? 00:07:23 tet-sensor -f conf/.sensor_config您必须看到 csw-agent 的三个条目，以及 tet-sensor 的至少两个条目。如果服务未运行，请确保以下目录可用，否则表明安装失败。
-
/usr/local/tet（适用于大多数 Linux 发行版）
-
/opt/cisco/tetration（适用于 AIX、Ubuntu）
-
/opt/cisco/secure-workload（适用于 Solaris、Debian）
Windows 的 ISE 安全评估代理
问：运行 PowerShell 代理安装程序脚本时，我收到以下错误之一：
-
基础连接已关闭：接收时发生意外错误。
-
客户端和服务器无法通信，因为它们没有共同的算法
[Net.ServicePointManager]::SecurityProtocol
[Net.ServicePointManager]::SecurityProtocol = [System.Net.SecurityProtocolType]’Ssl3,Tls,Tls11,Tls12’
This installation package could not be opened. Verify that the package exists and that you can access it, or contact the application vendor to verify that this is a valid Windows Installer package.
msiexec /i “TetrationAgentInstaller.msi” /l*v “msi_install.log” /norestart问：我发现如果底层 NIC 是 Nutanix VirtIO 网络驱动程序，则 Windows 传感器软件无法升级。
答：在启用了接收分段合并的情况下，Npcap 0.9990 与 Nutanix VirtIO 网络驱动程序 1.1.3 之前的版本之间存在不兼容问题。
此问题的解决方法是将 Nutanix VirtIO 网络驱动程序升级到版本 1.1.3 或更高版本。
问：我安装了 Windows 传感器。传感器似乎未注册，并且 sensor_id 文件包含以下内容：uuid-invalid-platform
set PATH=%PATH%;C:\Windows\System32\问：在 Windows 节点上，我没有收到来自 Kubernetes Pod 的网络流。
答：要验证所需的会话是否正在运行，以便从 Windows 节点上的 Kubernetes Pod 捕获流，请执行以下操作：
-
使用管理权限运行 cmd.exe。
-
运行以下命令：
logman query -ets确保以下会话正在运行：
-
CSW_MonNet：捕获网络流
-
CSW_MonHCS：监控 Pod 的创建
-
CSW_MonNat：监控 NAT 的流
-
Kubernetes
如果在 Kubernetes 守护进程集安装期间安装程序脚本失败，可能有很多原因。
问：是否可以从节点访问 Docker 注册表服务映像？
答：调试从思科 Cisco Secure Workload 集群提取映像的集群的直接或 HTTPS 代理问题
问：容器运行时是否会报告 SSL/TLS 不安全错误？
答：验证所有 Kubernetes 节点上是否已在容器运行时的适当位置安装了 Cisco Secure Workload HTTPS CA 证书。
问：映像下载失败的 Docker 注册表身份验证和授权？
答：在每个节点上，尝试使用 Helm 图表创建的密钥中的 Docker 拉取密钥手动从守护进程集规范中的注册表 URL 提取映像。如果手动映像提取也失败，则需要从 Cisco Secure Workload 集群注册表身份验证服务提取日志，以进一步调试问题。
问：在 Cisco Secure Workload 设备内部托管的 Kubernetes 集群是否正常？
答：检查集群的服务状态页面，确保所有相关服务均正常运行。从探索页面运行 dstool 快照并检索生成的日志。
问：Docker 映像生成器后台守护程序是否正在运行？
答：从 dstool 日志验证构建后台守护程序是否正在运行。
问：构建 Docker 映像的作业是否会失败？
答：从 dstool 日志验证是否未构建映像。Docker 构建 Pod 日志可用于调试构建工具包构建过程中的错误。执行协调器日志还可用于进一步调试构建失败。
问：创建 Helm 图表的作业是否失败？
答：从 dstool 日志验证是否未构建 Helm 图表。执行协调器日志将包含 Helm 构建作业的输出，可用于调试 Helm 图表构建作业失败的确切原因。
问：安装 bash 脚本已损坏？
答：尝试再次下载安装 bash 脚本。bash 脚本包含其附加的二进制文件数据。如果使用文本编辑器以任何方式编辑 bash 脚本或将其保存为文本文件，二进制文件数据中的特殊字符可能会被文本编辑器混淆或修改。
问：Kubernetes 集群配置 - 变体和风格过多，我们支持经典 K8。
答：如果客户运行的是 Kubernetes 的变体，则在部署的不同阶段可能存在许多故障模式。对故障阶段进行分类 - kubectl 命令运行失败、Helm 命令运行失败、Pod 映像下载失败、Pod 特权模式选项被拒绝、Pod 映像信任内容签名失败、Pod 映像安全扫描失败、Pod 二进制文件无法运行（架构不匹配）、Pod运行，但 Cisco Secure Workload 服务无法启动，Cisco Secure Workload 服务由于异常的操作环境而启动，但出现运行时错误。
问：Kubernetes RBAC 凭证是否失效？
答：为了运行特权守护进程集，我们需要 K8s 集群的管理员权限。验证 kubectl 配置文件的默认情景是否指向目标集群和该集群的管理员等效用户。
问：Busybox 映像是否可从所有集群节点获取或下载？
答：修复连接问题，并手动测试是否可以下载 Busybox 映像。Pod 规范中使用的 busybox 版本必须在所有集群节点上可用（预先设定种子）或可下载。
问：安装过程中出现 API 服务器和 etcd 错误或一般超时？
答：由于 Kubernetes 集群中所有节点上的守护进程集 Pod 实例化，集群上的 CPU/磁盘/网络负载可能会突然激增。这在很大程度上取决于客户的特定安装详细信息。由于过载，安装过程（在所有节点上提取并写入磁盘的映像）可能需要太长时间，或者 Kubernetes API 服务器或 Cisco Secure Workload Docker 注册表终端或（如已配置）代理服务器临时过载。短暂等待所有节点上的镜像提取完成，Kubernetes 集群节点上的 CPU/磁盘/网络负载减少后，再次重试安装脚本。来自 Kubernetes 控制平面的 API Server 和 etcd 错误表明，Kubernetes 控制平面节点可能配置不足，或受到活动突然激增的影响。
问：Cisco Secure Workload 代理在运行时遇到运行时问题？
答：如果 Pod 已正确部署且代理已开始运行但遇到运行时问题，请参阅“Linux 代理故障排除”部分。Kubernetes 部署成功安装并启动 Pod 后，故障排除步骤相同。
异常类型
以下是使用和管理 Cisco Secure Workload 代理时工作流程中最常见的问题。
代理不活动
代理已停止检查集群服务。出现这种情况有多种原因：
-
主机可能已关闭
-
网络连接已被防火墙规则中断或阻止
-
该代理服务已停止
在所有平台上验证以下内容：
-
验证主机是否处于活动状态且运行正常
-
验证代理服务已启动且正在运行
-
验证与集群的网络连接是否正常
升级失败
代理升级失败。这可能由少数情况触发，例如：
-
签入脚本尝试下载软件包时找不到软件包 - 无法解压升级软件包或无法验证软件包中的安装程序。
-
安装过程因操作系统问题或依赖关系而失败。
Windows
-
缺少 CA 根证书：证书问题
-
如果代理最初是使用 MSI 安装软件包手动安装的，请检查 Windows 版本是否与用户指南中支持的平台列表匹配：检查当前是否支持平台
-
检查以确保已为 Windows Installer 操作正确配置操作系统：Windows Installer Issues
-
确保主机上有足够的可用磁盘空间
Linux
-
如果自上次安装代理以来已升级主机操作系统，请验证当前版本是否与用户指南中支持的平台列表匹配：检查当前是否支持平台
-
确保自上次安装以来所需的依赖关系未发生任何更改。您可以使用 –no-install 选项来运行代理安装程序脚本，以重新验证这些依赖关系。
-
确保主机上有足够的可用磁盘空间
AIX
-
确保自上次安装以来所需的依赖关系未发生任何更改。您可以使用 –no-install 选项来运行代理安装程序脚本，以重新验证这些依赖关系。
-
确保主机上有足够的可用磁盘空间
转换失败
当前代理类型与所需的代理类型不匹配，并且转换尝试已超时。当代理执行 check_in 下载软件包或 wss 服务未能向代理推送 convert_commnad 时，可能就会出现通信问题。
在所有平台上，验证当前版本和代理类型是否与用户指南中支持的平台列表匹配：检查平台当前是否受支持
转换功能
并非所有代理都支持将代理从一种类型（例如深度可视性）转换为另一种类型（例如执行）。如果无法执行转换的代理需要转换，则会报告异常。
策略未同步
代理上次报告的当前策略 (NPC) 版本与集群上生成的当前版本不一致。造成这种情况的原因可能是代理和集群之间的通信错误、代理未能通过本地防火墙执行策略或代理执行服务未运行。
Windows
-
如果执行模式为 WAF，请验证主机上不存在会阻止防火墙启用的 GPO，从而添加规则（关闭“保留规则”）或设置默认操作：GPO 配置
-
验证主机和集群之间是否存在连接：SSL 故障排除
-
验证生成的规则计数是否小于 2000
-
验证 WindowsAgentEngine 服务是否正在运行：sc query windowsagentengine
-
验证是否有可用的系统资源
Linux
-
使用 iptables 和 ipset 命令来验证 iptables 和 ipset 是否存在
-
验证主机和集群之间是否存在连接：SSL 故障排除
-
验证 tet-enforcer 进程是否正在运行：ps -ef | grep tet-enforcer
AIX
-
使用 ipf -V 命令验证 ipfilter 是否已安装并正在运行
-
验证主机和集群之间是否存在连接：SSL 故障排除
-
验证 tet-enforcer 进程是否正在运行：ps -ef | grep tet-enforcer
流量导出
数据包捕获开启
如果 Cisco Secure Workload 代理无法打开 pcap 设备来捕获流，则您会在代理日志中看到错误。成功打开 Pcap 设备将报告如下：
I0609 15:25:52.354 24248 Started capture thread for device <device_name>
I0609 15:25:52.354 71912 Opening device {<device_id>}I0610 03:24:22.354 16614 Opening device <device_name>
[2020/06/10 03:24:23:3524] NOTICE: lws_client_connect_2: <device_id>: address 172.29.
˓→136.139
HTTPS 连接
代理与集群之间的连接在外部被阻止，因此无法传送流和其他系统信息。这是由于网络防火墙、SSL 解密服务或主机上的第三方安全代理存在一个或多个配置问题造成的。
-
如果代理和集群之间存在已知的防火墙或 SSL 解密安全设备，请确保允许与所有 Cisco Secure Workload 收集器和 VIP IP 地址的通信。对于本地集群，收集器列表将在 Cisco Secure Workload Web 界面左侧导航栏中的 下列出。查找 collectorDatamover-*。对于 Cisco Secure Workload 云，您的门户中将列出所有需要允许的 IP 地址。
-
为了帮助确定是否存在 SSL 解密，可使用 openssl s_client 来建立连接并显示返回的证书。添加到证书链中的任何其他证书都将被代理的本地 CA 拒绝。SSL 故障排除
注
通常，用于更新“流量导出异常状态”的服务每 5 分钟运行一次。由于代理的状态更新是以 5000 次为一小批量执行的，因此持续时间可能会有所不同。因此，当集群中的代理较少时，更新速度会更快。当代理数量较多时，更新时间最长可达 70 分钟。
在对数据库中的代理记录进行初步排序后，集群和代理就会变得稳定，最终，更新间隔会越来越小，一致性也会越来越好。
Windows 证书问题
MSI 安装程序的证书问题
MSI 安装程序使用代码签名证书进行签名：
对于 MSI 安装程序，版本 3.6.x 及更高版本和 3.5.1.31 及更高版本
-
分支证书：Cisco Systems, Inc
-
中间证书：DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1
-
根证书：DigiCert Trusted Root G4
对于 MSI 安装程序，早期版本
-
分支证书：Cisco Systems, Inc
-
中间证书：Symantec Class 3 SHA256 Code Signing CA
-
根证书：VeriSign Class 3 Public Primary Certification Authority - G5
它使用时间戳证书：
对于 MSI 安装程序，版本 3.6.x 及更高版本和 3.5.1.31 及更高版本
-
分支证书：Symantec SHA256 TimeStamping Signer - G3
-
中间证书：Symantec SHA256 TimeStamping CA
-
根证书：VeriSign Universal Root Certification Authority
对于 MSI 安装程序，早期版本
-
分支证书：Symantec SHA256 Timestamping Signer - G2
-
中间证书：Symantec SHA256 Timestamping CA
-
根证书：VeriSign Universal Root Certification Authority
如果 MSI 安装程序的数字签名无效，则 Windows 传感器安装或升级将失败。以下情况时数字签名无效：
-
MSI 安装程序签名根证书或 MSI 安装程序时间戳根证书不在“受信任的根证书颁发机构”存储区内
-
MSI 安装程序签名根证书或 MSI 安装程序时间戳根证书过期或被撤销。
|
问题 |
解决方法 |
|---|---|
|
代理安装可能会失败，TetUpdate.exe.log 中会出现以下错误：“Msi signature is not trusted. 0x800b0109" |
|
|
Windows 传感器升级失败，TetUpdate.exe.log 中出现以下错误：“Msi signature is not trusted. 0x800B010C" 证书已被其颁发者明确撤销。 |
|
|
Windows 传感器升级失败，TetUpdate.exe.log 中出现以下内容：“Msi signature is not trusted. 0x80096005" |
如果证书缺失，请从其他计算机导入证书。 要导入证书，请执行以下步骤： 首先从其中一个工作服务器导出 VeriSign 通用根证书颁发机构的证书。请按照以下步骤操作：
要导入证书，请执行以下步骤： 首先从其中一个工作服务器导出 VeriSign 通用根证书颁发机构的证书。请按照以下步骤操作：
|
适用于 Windows 2012、Windows 2012 R2、Windows 8、Windows 8.1
问题 1
CheckServiceStatus : Exception System.InvalidOperationException: Service npcap was not found on computer
‘.’. —> System.ComponentModel.Win32Exception: The specified service does not exist as an installed service解决方法
-
从命令提示符运行命令 certmgr
-
选中“受信任的根证书颁发机构”(Trusted Root Certification Authority) 存储区中的“DigiCert High Assurance EV Root CA”。
-
如果证书缺失，请从其他计算机导入证书。
要导入证书，请执行以下步骤：
首先从其中一个工作服务器导出证书“DigiCert High Assurance EV Root CA”。请按照以下步骤操作：
-
从命令提示符运行命令 certmgr
-
右键点击“受信任的根证书颁发机构”下的证书“DigiCert High Assurance EV Root CA”，然后转到所有任务导出。
-
将导出的证书复制到非工作服务器，然后导入证书。
要导入证书，请执行以下步骤：
-
从命令提示符运行命令 certmgr
-
右键点击“受信任的根证书颁发机构”(Trusted Root Certification Authorities) 下的证书选项卡，然后转到“所有任务导入”(All tasksImport)。
-
选择复制的根证书并将其添加到存储库中。
适用于 Windows 2008 R2 系统
问题 1
CheckServiceStatus : Exception System.InvalidOperationException: Service npcap was not found on
computer ‘.’. —> System.ComponentModel.Win32Exception: The specified service does not exist as an
installed service解决方法
-
从命令提示符运行命令 certmgr
-
选中受信任的根证书颁发机构 (Trusted Root Certification Authority) 存储区中的 DigiCert High Assurance EV Root CA。
-
如果证书缺失，请从其他计算机导入证书。
要导入证书，请执行以下步骤：
首先从其中一个工作服务器导出证书“DigiCert High Assurance EV Root CA”。请按照以下步骤操作：
-
从命令提示符运行命令 certmgr
-
右键点击“受信任的根证书颁发机构”下的证书“DigiCert High Assurance EV Root CA”，然后转到所有任务导出。
-
将导出的证书复制到非工作服务器，然后导入证书。
要导入证书，请执行以下步骤：
-
从命令提示符运行命令 certmgr
-
右键点击“受信任的根证书颁发机构”(Trusted Root Certification Authorities) 下的证书选项卡，然后转到“所有任务导入”(All tasksImport)。
-
选择复制的根证书并将其添加到存储库中。
Windows 主机重命名
场景 1：重命名 Windows 主机后无法查看 IP 地址和 VRF 信息，解决该问题的步骤如下：
-
从 TaaS UI 中删除条目（使用缺少 IP 地址和 VRF 信息的新主机名）。
-
从 Windows 主机卸载“Cisco Cisco Secure Workload Agent”，并删除“Cisco Tetration”目录（该目录的路径通常为：“C:Program FilesCisco Tetration”）。
-
在 Windows 主机上安装“Cisco Cisco Secure Workload Agent”。
按照上述步骤，代理就能成功在 TaaS UI 上注册 IP 地址和 VRF 信息。
场景 2：计划中的 Windows 主机重命名（提前），要遵循的步骤：
-
从 Windows 主机卸载“Cisco Cisco Secure Workload Agent”，并删除“Cisco Tetration”目录（该目录的路径通常为：“C:Program FilesCisco Tetration”）。
-
重命名 Windows 主机并重启。
-
在 Windows 主机上安装“Cisco Cisco Secure Workload Agent”（使用新主机名）。
按照上述步骤进行计划的主机重命名后，代理就会在 TaaS UI 上用新的主机名注册。
检查平台当前是否受支持
Windows 的 ISE 安全评估代理
-
运行命令 winver.exe
-
将此版本与此处列出的版本进行比较：支持的平台和要求
Linux
-
运行 cat /etc/os-release
-
将此版本与此处列出的版本进行比较：支持的平台和要求
AIX
-
运行命令 uname -a
-
注意：主要版本与次要版本是相反的
p7-ops2> # uname -a AIX p7-ops2 1 7 00F8AF944C00 -
在本例中，主机名后的第一个数字是次版本，第二个数字是主版本，即 AIX 7.1 版。将此版本与此处列出的版本进行比较：支持的平台和要求
Windows 安装程序问题
-
确保存在 C:\Windows\Installer 目录。这不会显示在文件资源管理器中，最简单的验证方法是在 CMD 会话中并运行：dir C:\Windows\Installer
-
检查 Windows Installer 服务是否未被禁用。它必须设置为手动 (Manual)
-
检查 Windows Installer 是否未报告其他错误。检查 下的 Windows 系统事件日志
必需的 Windows 服务
以下是在禁用时与代理安装问题相关联的服务列表。建议在深度可视性和执行代理的初始安装以及任何升级期间运行这些服务。
|
服务 |
安装目的 |
|---|---|
|
设备设置管理器 |
用于安装 Npcap 过滤器驱动程序的设备驱动程序管理。 |
|
设备安装服务 |
也用于安装 Npcap 过滤器驱动程序。 |
|
Windows 安装程序 |
安装代理 MSI 软件包时需要。 |
|
Windows Firewall |
对于 WAF 执行模式，此字段为必填项。 |
|
应用体验 |
用于确定系统上的功能可执行文件。 |
注 |
应用体验服务仅适用于 Windows Server 2008、2008R2、2012、2012R2 和 Windows 7 版本。如果禁用，Npcap 安装过程中可能会出现文件锁，从而导致安装失败。 |
反馈