如何解决与 PAN-OS 集成 User-ID 代理的受监视服务器的连接失败问题

show user server-monitor statistics

show user server-monitor state <server-name>

• 在“设备>用户标识”下>“用户映射”下，然后单击“Palo Alto Networks User-ID Agent Setup”的齿轮图标
• 转到 “服务器监视器帐户” 选项卡。
• 有关详细信息，请参阅使用 PAN-OS 集成用户 ID 代理配置用户映射中的步骤 5。

1. 连接超时
2. Kerberos 错误
3. 连接被拒绝
4. 访问被拒绝
5. 未连接

1. 检查防火墙是否能够访问服务器，这可以通过ping服务器或使用traceroute来检查。 如果到受监控服务器的服务路由是 mgmt 接口，请使用 CLI 命令：

   ping host <IP address of the monitored server>
   traceroute host <IP address of the monitored server>

   如果对受监控服务器死记硬背的服务是数据平面接口，请使用 CLI 命令：

   ping source <IP address of the dataplane interface> host <IP address of the monitored server>
   
   traceroute source <IP address of the dataplane interface> host <IP address of the monitored server>

less mp-log user-id.log

Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2062): failed to get krb5 tgt ticket with error -1765328228.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2076): failed to get krb5 tgt ticket with error -1765328366.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2062): failed to get krb5 tgt ticket with error 11.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error 145.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2073): failed to get krb5 tgt ticket with error 16.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2074): failed to get krb5 tgt ticket with error -1765328237.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328378.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328370.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328360.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:1982): failed to get krb5 tgt ticket with error -1765328316.
Error:  pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328353. 

1. 如果看到的消息类似于：

   Error: pan_user_id_winrm_query(pan_user_id_win.c:2794): Connection failed. response code = 0, error: Couldn't connect to server in vsys 1
   Error: pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: Couldn't resolve host name in vsys 1 

   请参阅使用 WinRM-HTTP/WinRM-HTTPS 时服务器监控状态卡在“连接被拒绝 （0）”中。
2. 如果看到的消息类似于：

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: Peer certificate cannot be authenticated with given CA certificates in vsys 1

   续订服务器证书后，请参阅错误消息：无法使用给定的 CA 证书对等证书进行身份验证，并且使用 WinRM-HTTPS 的服务器监视状态显示“连接被拒绝 （0）”。
3. 如果看到的消息类似于：

   Error: pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 0, error: SSL peer certificate or SSH remote key was not OK in vsys

   参考 无法通过 https 连接到 WINRM，无法获取基本约束。
4. 如果看到的消息类似于：

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2794): Connection failed. response code = 401, error: (null) in vsys 1

   如果使用的是 WinRM-HTTP，请考虑是否需要切换到更安全的 HTTPS。 如果使用 HTTPS，请确保在 WinRM 的域控制器上安装并配置了有效的证书。 请参阅 WinRM-HTTP 失败并出现错误 401，并检查是否遵循了使用 WinRM 配置服务器监视中列出的正确配置步骤。

1. 如果看到的消息类似于：

   Error:  pan_user_id_winrm_query(pan_user_id_win.c:2805): Connection failed. response code = 500, error: (null) in vsys 1

   按照知识库知识库： WinRM 无代理用户 ID 所需的专用服务帐户 Active Directory 安全组中的说明进行操作。
2. 如果看到的消息类似于：

   Error:  pan_user_id_win_wmic_log_query(pan_user_id_win.c:1670): log query for SPFPL-SRV-AD.shapoorjipallonjifinance.com failed: NTSTATUS: NT_STATUS_ACCESS_DENIED - Access denied

   确保您已正确配置并设置了 User-ID 代理的专用服务帐户。 对于 Microsoft Window 服务器，请检查受 Windows 修补程序KB5014692影响是否破坏了 User-ID 的 WMI。

1. 检查防火墙在 A/P HA 设置中是否为被动。

   > show high-availability all
   Group 1:
     Mode: Active-Passive
     Local Information:
       Version: 1
       Mode: Active-Passive
       State: passive (last 1 days)  <<<
       Device Information:

   如果是这样，那么这是预期行为。故障转移后，当被动防火墙变为活动状态时，受监视的服务器状态应显示为“已连接”。
2. 否则，请检查用户 ID 日志：如果看到的消息类似于：

   Error: pan_user_id_win_log_query(pan_user_id_win.c:1349): log query for AD-Server failed: NTSTATUS: NT code 0x80041003 - NT code 0x80041003

   按照知识库文章中的说明操作：未连接到 Active Directory 服务器的无代理用户 ID 连接。

show user server-monitor state all
UDP Syslog Listener Service is enabled
SSL Syslog Listener Service is enabled
Proxy: Server1(vsys: vsys1) Host: Server1(10.10.10.16)
number of log messages : 0   <<<<
number of auth. success messages : 0
number of active connections : 0
total connections made : 0
Proxy: Server2 UDP(vsys: vsys1) Host: Server2 UDP(10.10.10.15)
number of log messages : 0    <<<<
number of auth. success messages : 0

1. 要通过防火墙管理进行受监控的服务器连接，请使用 CLI

   tcpdump filter host <IP address of the monitored server> snaplen 0
   view-pcap mgmt-pcap mgmt.pcap
   

2. 要通过防火墙数据平面进行受监控的服务器连接，请使用 CLI，在防火墙入门：数据包捕获中设置数据包捕获。
3. 有关在防火墙和受监视服务器（ 位于“目录服务器”下）连接之间的连接中使用哪个 TCP 服务端口的信息，请参阅以下内容：
   1. 对于 WMI，初始连接使用 TCP/135，但使用 RPC，RPC 在 49152-65535 范围内分配随机端口
   2. 对于 WinRM-HTTP，端口为 TCP/5985
   3. 对于 WinRM-HTTPS，端口为 TCP/5986
4. 有关防火墙与受监控服务器（位于 Syslog 服务器下）连接之间的连接中使用哪个服务端口的信息，请参阅以下内容：
   1. 对于 UDP Syslog 侦听器连接，端口为 UDP/514。
   2. 对于 SSL Syslog 侦听器连接，端口为 TCP/6514。