Ошибка подключения агента Wazuh и ошибка поврежденной полезной нагрузки в журнале

Question

Я указал IP-адрес менеджера Wazuh, имя пользователя и пароль. Я установил агент wazuh на свой ноутбук, но он подключен к IP-адресу Manager. он не возвращает ключ авторизации и не выдает ошибки в файл журнала.

Важная заметка:

Я использую VPS и устанавливаю на него Wazuh agent. Ошибки

2020/10/29 18:01:55 agent-auth: ERROR: Unable to connect to 10.50.51.64:1515
2020/10/29 18:02:01 ossec-agent: ERROR: Corrupt payload (exceeding size) received.
2020/10/29 18:02:01 ossec-agent: WARNING: Polling server '10.50.51.64' failed. Skipping enrollment.
2020/10/29 18:03:01 ossec-agent: ERROR: Corrupt payload (exceeding size) received.
2020/10/29 18:03:01 ossec-agent: WARNING: Polling server '10.50.51.64' failed. Skipping enrollment

Answer 1

Я хотел бы помочь вам с этой проблемой, но я не могу ее воспроизвести.

Из ваших журналов я вижу, что вы используете агент 4.0, у которого (по умолчанию) включена возможность автоматической регистрации. Предупреждение:

2020/10/29 18:03:01 ossec-agent: WARNING: Polling server '10.50.51.64' failed. Skipping enrollment

Генерируется при попытке автоматической регистрации, когда что-то пошло не так со связью с менеджером.

Это другое сообщение:

2020/10/29 18:01:55 agent-auth: ERROR: Unable to connect to 10.50.51.64:1515

Похоже, это вызвано попыткой регистрации вручную с использованием agent-auth. На самом деле вам не нужно вручную регистрировать агент, если включена автоматическая регистрация, так как он будет регистрироваться автоматически, но это не вызывает ошибку, а просто указывает на то, что authd также не работает.

Наконец, это сообщение:

2020/10/29 18:02:01 ossec-agent: ERROR: Corrupt payload (exceeding size) received.

Указывает, что агент получает ответ от менеджера, но он поврежден, вероятно, из-за сетевой проблемы.

Что касается вашего сообщения и ваших журналов, я бы сказал, что агент действительно зарегистрирован, но он не может получить сгенерированный ключ (следовательно, он не сможет общаться с менеджером).

Возможно ли, что какая-то конфигурация в ваших сетях мешает ответу менеджера, который должен отправить ключ агенту? Вы пробовали снова все чистить реестр? Кроме того, этот ip 10.50.51.64 полностью доступен из агента?

Если вы расскажете нам о своей среде (ОС, сеть, виртуализация, если она существует, и т. Д.), Возможно, мы сможем дать вам более точную информацию.