对安装安全中继进行故障排除

  • 原因：在安装安全中继期间，端点检测和响应 (EDR) 软件或防病毒程序可能会自动删除 envoy.yaml 配置文件，从而影响进程。此文件对于确保安全中继正常运行至关重要。删除文件将导致安装失败。

  • 错误消息：如果您怀疑安装失败是 EDR 或防病毒软件删除了 envoy.yaml 文件所导致，可以通过检查 MSI 错误日志来确认这一点。MSI 错误日志在系统的 TEMP 文件夹中生成。请查找以下错误消息：错误：缺少 envoy.yaml 文件。

    如果日志中出现此错误，则表示 envoy.yaml 文件在安装过程中被删除，可能是由安全软件删除。

  • 修复：若要解决此问题并确保安装成功，请按照下列步骤操作：

    1. 将安装文件夹或配置文件列入白名单：

      • 配置 EDR 或防病毒软件，从扫描和删除操作中排除以下目录：[Install_path]\Tenable.ad\SecureRelay\

      • 或者，如果无法将整个文件夹排除在外，您可以将 [Install_path]\Tenable.ad\SecureRelay\envoy.yaml 文件列入白名单。

    2. 重新尝试安装：添加必要的排除项后，重新运行安全中继安装文件。

  • 原因：升级期间，安装程序未获取 Ceti 主机 IP 地址的环境变量，且默认为“127.0.0.1”。

  • 错误消息 — 由于传输期间发生意外错误，连接失败。

  • 修复：

    1. 验证目录侦听器服务器上的环境变量“TENABLE_CASSIOPEIA_CETI_Service__Broker__Host”。

    2. 务必将此变量设置为安全引擎节点的 IP 地址。如果变量被设置为默认值 '127.0.0.1'，则会导致安全中继安装失败。

    3. 更新环境变量“TENABLE_CASSIOPEIA_CETI_Service__Broker__Host”后，请重新启动 Ceti 服务。

    4. 重新开始安装安全中继。否则，系统会回滚并保留已安装的中继和 Envoy 服务，同时阻止任何进一步的安装。

  • 原因：在升级或安装安全引擎节点服务器期间未设置 Ceti 服务器的 IP 地址。安装程序默认为“127.0.0.1”：

  • 错误消息 — 连接失败：无法连接到远程服务器。

对于暂停状态下的“tenable_envoy_server”服务：使用 PowerShell 命令“netstat -anob | findstr 443”识别当前占用端口 0.0.0.0:443 的应用程序。如果发现了另一个应用程序，请将其移除或停止运行，以解决冲突并确保“tenable_envoy_server”服务正常运行。

修复：

  1. 登录安全引擎节点服务器。

    • 如果使用的是拆分的安全引擎节点架构，请登录运行 Eridanis 服务的服务器。

  2. 打开环境变量并找到变量名称“ERIDANIS_CETI_PUBLIC_DOMAIN”。

  3. 编辑“ERIDANIS_CETI_PUBLIC_DOMAIN”的变量值以插入目录侦听器的 IP 地址或主机名：

    • 更新环境变量“ERIDANIS_CETI_PUBLIC_DOMAIN”以匹配目录侦听器的 IP 地址或主机名。此同步有助于使部署在不同服务器上的组件之间流畅通信。

    • “ERIDANIS_CETI_PUBLIC_DOMAIN”的变量值由“127.0.0.1”更改为目录侦听器“listener.test.lab”的 IP 地址或主机名。

  1. 打开“服务”并停止 tenable_Eridanis 服务。

  1. 启动 tenable_Eridanis 服务。

  1. 登录安全中继服务器。如果安全中继安装程序已经打开，请退出并重新开始安装安全中继。

注意：务必退出安装程序并重新开始安装。如果不退出安装程序并继续安装，则安装过程会中断，并且无法继续（遇到阻碍）。

  • 原因：安装程序在本地服务器上找不到 CA 证书。

  • 错误消息 — 连接失败：基础连接已关闭：无法为 SSL/TLS 安全通道建立信任关系。

  • 修复：

    1. 访问存储受信任的 CA 证书的源系统（目录侦听器服务器）或存储库，并找到受信任的 CA 证书。这些证书通常存放在以下目录中：

      • 默认自签名证书位置： “installation_drive”:\Tenable\Tenable.ad\DefaultPKI\Certificates\ca

      • 自定义证书位置：“installation_drive”:\Tenable\Tenable.ad\Certificates

    2. 将受信任的 CA 证书文件从源系统（目录侦听器服务器）复制到本地服务器（安全中继服务器）。

    3. 将证书导入到安全中继服务器上受信任的证书存储位置中。

    4. 成功导入后，退出安全中继安装程序并重新开始安装。

      注意：务必退出安装程序并重新开始安装。如果不退出安装程序并继续安装，则安装过程会中断，并且无法继续（遇到阻碍）。