使用 WinRM 时服务器监控状态停留在“连接被拒绝（0）”-HTTP /WinRM-HTTPS
58652
Created On 01/25/22 00:11 AM - Last Modified 05/15/23 09:21 AM
Symptom
- 正在监视安全事件的域控制器显示“连接被拒绝 (0)”状态。
- 用户到IP从域控制器看不到映射。
Environment
- PA Firewall 使用PAN-OS综合用户-ID代理人。
- 使用 WinRM 监视域控制器-HTTP或 WinRM-HTTPS作为一种运输方式。
Cause
没有HTTP响应代码 0。 服务器监控状态中的“0”表示firewall没有收到来自域控制器的响应。 当。。。的时候firewall没有看到响应，默认情况下它用 0 填充响应代码字段。 这可能是由以下几件事引起的：
- 这firewall，或者其他设备正在阻止端口 5985 上的 Windows 远程管理流量。
- 配置的服务器监控帐户用户名语法错误（当FQDN指定而不是IP服务器监视器下的地址）。
- 这Firewall无法解析域控制器的主机名。
Resolution
1. 检查 useridd.log 是否有以下错误消息：
Error: pan_user_id_winrm_query(pan_user_id_win.c:2698): Connection failed. response code = 0, error: Failure when receiving data from the peer in vsys 1, server=server.pantac.local.lab.
如果您看到此错误消息，则意味着端口 5985 上的 WinRM 流量被阻止，或者在下面配置的用户名设备 > 用户标识 > 帕洛阿尔托网络用户-ID代理设置 > 服务器监控帐户有错误的语法。 “pantac.local.lab”域中“pan_agent”用户的正确语法示例如下：
pantac\pan_agent
当使用其指定域控制器时需要此语法FQDN在下面设备>>用户识别>>服务器监控.
2. 在useridd.log中可以看到另一个可能的错误信息：
Error: pan_user_id_winrm_query(pan_user_id_win.c:2698): Connection failed. response code = 0, error: Couldn't resolve host name in vsys 1, server=server.pantac.local.lab
如果您看到此消息，则firewall无法解析在服务器监控下配置的主机名。 请检查DNS服务器配置于设备 > 设置 > 服务是正确的，可以解析域控制器的主机名。
Additional Information
有关什么的更多信息HTTP响应代码为 0 表示您可以参考此 Stack Overflow 线程：
https://stackoverflow.com/questions/872206/what-does-it-mean-when-an-http-request-returns-status-code-0