Der Serverüberwachungsstatus bleibt bei Verwendung von WinRM-/WinRM-HTTP in "Verbindung abgelehnt (0)" hängenHTTPS
58720
Created On 01/25/22 00:11 AM - Last Modified 05/15/23 09:21 AM
Symptom
- Der Domänencontroller, der auf Sicherheitsereignisse überwacht wird, zeigt den Status "Verbindung verweigert (0)" an.
- IP Benutzerzuordnungen, die vom Domänencontroller aus nicht angezeigt werden, sind nicht sichtbar.
Environment
- PA Firewall über den PAN-OS integrierten User-AgentID .
- Domänencontroller, der mit WinRM- oder WinRM-HTTPHTTPS als Transportmethode überwacht wird.
Cause
Es gibt keinen HTTP Antwortcode von 0. Die "0" im Status der Serverüberwachung signalisiert, dass keine firewall Antwort vom Domänencontroller empfangen wird. Wenn keine firewall Antwort angezeigt wird, wird das Antwortcodefeld standardmäßig mit einer 0 gefüllt. Dies kann mehrere Ursachen haben:
- Das firewallGerät oder ein anderes Gerät blockiert den Datenverkehr der Windows-Remoteverwaltung an Port 5985.
- Der konfigurierte Benutzername des Servermonitorkontos hat die falsche Syntax (Wann FQDN wird anstelle der IP Adresse unter Servermonitor angegeben).
- Der Firewall Hostname des Domänencontrollers kann nicht aufgelöst werden.
Resolution
1. Überprüfen Sie useridd.log auf die folgende Fehlermeldung:
Error: pan_user_id_winrm_query(pan_user_id_win.c:2698): Connection failed. response code = 0, error: Failure when receiving data from the peer in vsys 1, server=server.pantac.local.lab.
Wenn diese Fehlermeldung angezeigt wird, bedeutet dies, dass entweder der WinRM-Datenverkehr an Port 5985 blockiert wird oder dass der Benutzername, der unter Device > User Identification > Palo Alto Networks User-AgentID Setup > Server Monitor Account konfiguriert ist, die falsche Syntax aufweist. Ein Beispiel für die korrekte Syntax für den Benutzer "pan_agent" in der Domäne "pantac.local.lab" wäre die folgende:
pantac\pan_agent
Diese Syntax ist erforderlich, wenn der Domänencontroller mithilfe seines FQDN Monitors für Geräte- >> Benutzeridentifikation >> Server angegeben wird.
2. Eine weitere mögliche Fehlermeldung, die in useridd.log zu sehen ist:
Error: pan_user_id_winrm_query(pan_user_id_win.c:2698): Connection failed. response code = 0, error: Couldn't resolve host name in vsys 1, server=server.pantac.local.lab
Wenn diese Meldung angezeigt wird, kann der firewall unter Serverüberwachung konfigurierte Hostname nicht aufgelöst werden. Überprüfen Sie, ob der DNS unter Device > Setup > Services konfigurierte Server korrekt ist und den Hostnamen des Domänencontrollers auflösen kann.
Additional Information
Weitere Informationen dazu, was ein HTTP Antwortcode von 0 bedeutet, finden Sie in diesem Stack Overflow-Thread:
https://stackoverflow.com/questions/872206/what-does-it-mean-when-an-http-request-returns-status-code-0