用户 ID 代理在帕洛阿尔托网络上显示为 "非康" Firewall
109519
Created On 09/25/18 19:48 PM - Last Modified 03/26/21 16:56 PM
Environment
- PAN-OS 8.1、9.0 和 9.1
- 帕洛阿尔托 Firewall .
- 用户 ID 代理。
Resolution
ID帕洛阿尔托网络上的用户代理状态 firewall 显示为"非康"。
admin@PA> show user user-id-agent state all
Agent: Agent1(vsys: vsys1) Host: 10.129.80.47:5007
Status : not-conn:idle
Version : 0x0
num of connection tried : 13
num of connection succeeded : 0
.....
从 GUI ， 状态看起来像这样：
"非连接"（未连接）状态可能是由于各种原因造成的。 请务必检查以下内容:
- A 高可用性设备，其中有源设备仅连接到用户 ID 代理，而被动 firewall 设备始终显示为 未连接。
- 用户 ID 代理正确安装在机器/服务器上，主机正在收听端口 5007：用户 ID 代理设置提示
- firewall从服务路线到用户代理，端 ID 口在两者之间的任何地方都未受阻。
- 如果使用用户 ID 收集器，请确保重新分配 firewall 配置正确，并且可从 firewall 。 此外，亦确保在再分配方面，服务及政策是适当的 firewall 。 配置 a Firewall 与其他防火墙共享用户映射数据
- 由于与 firewall 再分配之间的连接 firewall 使用 SSL ，请确保 SSL 所使用的证书 firewall 未过期。 在管理端口或 dataplane 端口上捕获握手 (如果使用服务路由) 并展开客户端证书数据包以查找有效性。 如何对网络数据包捕获 (tcpdump) 上的管理界面
- 检查用户 ID 日志， firewall 看看是否显示任何错误：
admin@PA> tail follow yes mp-log useridd.log ..Error: __pan_print_msg(pan_sys.c:963): Failed to connect to 10.129.80.47(10.129.80.47):5007 ..Error: __pan_print_msg(pan_sys.c:963): Failed to connectto 10.129.80.47(5007): Internal Error ..Error: pan_ssl_conn_open(pan_ssl_utils.c:383):pan_tcp_sock_open() failed