PAN-OS 統合 User-ID Agent の監視対象サーバーへの接続エラーのトラブルシューティング方法

show user server-monitor statistics

show user server-monitor state <server-name>

• [Device > User Identification > User Mapping] で、Palo Alto Networks User-ID Agent Setup の歯車アイコンをクリックします。
• Server Monitor Accountタブに移動します。
• 詳細については、PAN-OS 統合 User-ID エージェントを使用したユーザマッピングの設定のステップ 5 を参照してください。

1. 接続タイムアウト
2. Kerberos エラー
3. 接続が拒否されました
4. アクセス拒否
5. 接続されていません

1. ファイアウォールがサーバーに到達できるかどうかを確認します これは、サーバーにpingを実行するか、tracerouteを使用して確認できます。 監視対象サーバへのサービス ルートが管理インターフェイスの場合は、CLI コマンドを使用します。

   ping host <IP address of the monitored server>
   traceroute host <IP address of the monitored server>

   監視対象サーバへのサービスがデータプレーンインターフェイスである場合は、CLIコマンドを使用します。

   ping source <IP address of the dataplane interface> host <IP address of the monitored server>
   
   traceroute source <IP address of the dataplane interface> host <IP address of the monitored server>

less mp-log user-id.log

Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2062): failed to get krb5 tgt ticket with error -1765328228.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2076): failed to get krb5 tgt ticket with error -1765328366.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2062): failed to get krb5 tgt ticket with error 11.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error 145.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2073): failed to get krb5 tgt ticket with error 16.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2074): failed to get krb5 tgt ticket with error -1765328237.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328378.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328370.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328360.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:1982): failed to get krb5 tgt ticket with error -1765328316.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328353. 

1. 表示されるメッセージが次のような場合:

   Error: pan_user_id_winrm_query(pan_user_id_win.c:2794): Connection failed. response code = 0, error: Couldn't connect to server in vsys 1
   Error: pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: Couldn't resolve host name in vsys 1 

   WinRM-HTTP/WinRM-HTTPS使用時にサーバー監視ステータスが「接続拒否(0)」でスタックするを参照してください。
2. 表示されるメッセージが次のような場合:

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: Peer certificate cannot be authenticated with given CA certificates in vsys 1

   「エラーメッセージ:ピア証明書は特定のCA証明書で認証できません」および「WinRM-HTTPSステータスを使用したサーバー監視」にサーバー証明書の更新後に「接続拒否(0)」と表示されます。
3. 表示されるメッセージが次のような場合:

   Error: pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: SSL peer certificate or SSH remote key was not OK in vsys

   「Failed to connect to WINRM over https」を参照し、基本的な制約を取得できません。
4. 表示されるメッセージが次のような場合:

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2794): Connection failed. response code = 401, error: (null) in vsys 1

   WinRM-HTTP を使用している場合は、より安全な HTTPS に切り替える必要があるかどうかを検討してください。 HTTPS を使用する場合は、WinRM のドメイン コントローラーに有効な証明書がインストールされ、構成されていることを確認します。 「WinRM-HTTP がエラー 401 で失敗する」を参照し、「WinRM を使用したサーバー監視の構成」に記載されている適切な構成手順に従ったことを確認します。

1. 表示されるメッセージが次のような場合:

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 500, error: (null) in vsys 1

   「KB: Dedicated Service Account required Active Directory Security Groups for WinRM Agentless User-ID (WinRM エージェントレス ユーザー ID に必要な専用サービス アカウント Active Directory セキュリティ グループ)」の指示に従います。
2. 表示されるメッセージが次のような場合:

   Error:  pan_user_id_win_wmic_log_query(pan_user_id_win.c:1670): log query for SPFPL-SRV-AD.shapoorjipallonjifinance.com failed: NTSTATUS: NT_STATUS_ACCESS_DENIED - Access denied

   User-ID Agent の専用サービスアカウントが正しく設定されていることを確認します。 Microsoft Window Server の場合、Windows パッチ KB5014692の影響を受けると User-ID の WMI が壊れるかどうかを確認します。

1. ファイアウォールが A/P HA セットアップでパッシブかどうかを確認します。

   > show high-availability all
   Group 1:
     Mode: Active-Passive
     Local Information:
       Version: 1
       Mode: Active-Passive
       State: passive (last 1 days)  <<<
       Device Information:

   もしそうなら、これは正常な動作です。フェイルオーバー後、パッシブ ファイアウォールがアクティブになると、監視対象のサーバーの状態は [接続済み] と表示されます。
2. そうでない場合は、user-id logs: 次のようなメッセージが表示されるかどうかを確認します。

   Error: pan_user_id_win_log_query(pan_user_id_win.c:1349): log query for AD-Server failed: NTSTATUS: NT code 0x80041003 - NT code 0x80041003

   「ナレッジベース: Active Directory サーバへのエージェントレス ユーザ ID 接続が接続されていません」の手順に従います。

show user server-monitor state all
UDP Syslog Listener Service is enabled
SSL Syslog Listener Service is enabled
Proxy: Server1(vsys: vsys1) Host: Server1(10.10.10.16)
number of log messages : 0   <<<<
number of auth. success messages : 0
number of active connections : 0
total connections made : 0
Proxy: Server2 UDP(vsys: vsys1) Host: Server2 UDP(10.10.10.15)
number of log messages : 0    <<<<
number of auth. success messages : 0

1. ファイアウォール管理による監視対象サーバー接続の場合は、CLIを使用します

   tcpdump filter host <IP address of the monitored server> snaplen 0
   view-pcap mgmt-pcap mgmt.pcap
   

2. ファイアウォール データプレーン経由の監視対象サーバ接続で CLI を使用する場合は、ファイアウォールでパケット キャプチャを設定します(Getting Started: Packet Capture)。
3. ファイアウォールと監視対象サーバー( ディレクトリサーバーの下にあります)間の接続で使用されるTCPサービスポートについては、以下を参照してください。
   1. WMI の場合、初期接続では TCP/135 が使用されますが、49152 から 65535 の範囲のランダムなポートが割り当てられる RPC が使用されます
   2. WinRM-HTTP の場合、ポートは TCP/5985 です
   3. WinRM-HTTPS の場合、ポートは TCP/5986 です
4. ファイアウォールと監視対象サーバー( Syslogサーバーの下にあります)間の接続で使用されるサービスポートについては、以下を参照してください。
   1. UDP Syslog リスナー接続の場合、ポートは UDP/514 です。
   2. SSL Syslog リスナー接続の場合、ポートは TCP/6514 です。