So beheben Sie einen Verbindungsfehler zum User-AgentID

• Palo Alto Firewall
• Benutzer-ID Agent
• PAN-OS 10.0 und höher

1. Bestimmen Sie, welcher User-AgentID getrennt ist:
   1. Verwenden Sie für den User-Agent des Protokolls Version 5 (Windows-User-AgentIDID oder mit Version 9.1 oder firewall früher) CLI

      show user user-id-agent statistics

   2. Für andere User-Agent-ProtokolleID Version 6 (Firewall mit 10.0 oder höher) lautet das CLI :

      show redistribution agent statistics

2. Überprüfen Sie weitere Details in Bezug auf den getrennten User-AgentenID :
   1. Verwenden Sie für User-Agent Version 5 (Windows-User-AgentIDID oder Version 9.1 oder firewall früher) CLI

      show user user-id-agent state <user-id-agent name>
      

   2. Für User-AgentID Version 6 (Firewall mit 10.0 oder höher) ist das CLI :

      show redistribution agent state <user-id-agent name>

3. Überprüfen Sie die Serviceroute vom firewall zum User-AgentID : Device > Setup > Services > Service Route Configuration > UID Agent
4. Wenn zulässige Adressen konfiguriert sind, überprüfen Sie für die Dienstroute des Verwaltungsagenten (auch als Standard UID bezeichnet) unter Device > Setup > Interface > Management > Network Services, wenn zulässige IP Adressen konfiguriert sind, ob dieID Benutzer-Agent-Adressen in dieser Liste enthalten sind, und aktivieren Sie das Kontrollkästchen Benutzer-, wenn Sie als Benutzer-ID-AgentID für andere Firewalls fungieren möchtenfirewall. Ähnliche Überprüfungen können unter Network > Network Profiles > Interface Mgmt for Dataplane UID Agent Service Route durchgeführt werden.
5. Überprüfen Sie die Protokolle unter Überwachen > Systems mit Filter ( Subtyp eq userid ) verwenden Sie auch :CLI

   show log system direction equal backward subtype equal userid
   

   Beispiel für eine Ausgabe (unter Weglassen der Uhrzeit des Ereignisses) aus dem obigen Befehl

   Severity Subtype Object EventID ID Description
   ============================================================
   high userid connect 0 Redistribution Agent My-UIA(vsys1):details:close connection to agent

6. Überprüfen Sie die Protokolle von CLI:
   1. Verwenden Sie für User-Agent Version 5 (Windows-User-AgentIDID oder Version 9.1 oder firewall früher) CLI

      less mp-log useridd.log

   2. Verwenden Sie für User-AgentID Version 6 (Firewall mit Version 10.0 oder höher) mit Version 10.0 oder höher CLI

      less mp-log distributord.log

7. Überprüfen Sie die Erreichbarkeit von firewall zum User-AgentID :
   1. Für die User-Agent-Verbindung über firewall die Management-NutzungID CLI

      ping host <IP address of the User-ID Agent>

   2. Für die User-Agent-VerbindungID über die Verwendung auf Firewall Datenebene CLI 

      ping source <IP address of the dataplane interface> host <IP address of User-ID Agent>

8. Überprüfen Sie den TCP Handshake zwischen Firewall und dem User-AgentID :
   1. Von der Firewall Seite:

      show netstat numeric-hosts yes numeric-ports yes | match <IP address of the User-ID agent>

   2. Von der Windows-Serverseite:

      netstat -na | findstr 5007
      netstat -na | findstr <IP address of the ethernet interface connected to the firewall>

9. Überprüfen Sie den SSL Handshake zwischen Firewall und User-AgentID :
   1. Für die User-Agent-Verbindung über firewall die Management-NutzungID CLI

      tcpdump filter host <IP address of the User-ID Agent> snaplen 0
      view-pcap mgmt-pcap mgmt.pcap
      

   2. Legen Sie für die Benutzer-Agent-VerbindungID über die Verwendung CLIder Firewall Datenebene eine Paketerfassung für die firewallErste Schritte: Paketerfassung fest. 

• Dieser Artikel kann auch verwendet werden, um Verbindungsfehler mit dem Datenverteilungs-Agent zu beheben.
• In diesem Artikel wird davon ausgegangen, dass die Konfiguration auf dem Client Firewall und dem Benutzer-ID-Agent überprüft wurde (Windows-Benutzer-ID-Agent oder firewall als Benutzer-ID-Agent (auch bekannt als Datenumverteilungs-Agent)

Konfigurieren Sie den Windows-Benutzer-ID Agent für die Benutzerzuordnung
Geräte- > Benutzeridentifikation > Verbindungssicherheit
Konfigurieren der Datenweiterverteilung