如何对 McAfee Agent 中代理与服务器之间的通信故障进行故障排除 5.x

技术文章 ID: KB90603
上次修改时间: 2023/02/13

环境

McAfee Agent (MA) 5.x

摘要

本文提供有关 McAfee Agent 和 ePolicy Orchestrator （ePO）之间的通信工作原理的背景信息。它还提供了一些有用的故障排除步骤，您可以采取这些措施来诊断通信故障。代理和服务器通信通常缩写为 ASCI。

ASCI 工作流的高层次概述：
此部分概述了成功 ASCI 会话的工作流，并提供了来自 masvc_<MA_Client_Name>.log 于端点的日志文件示例，以及 McAfee ePO 服务器上的 s erver_<ePO_Server_Name>.log 。在给定的示例中，客户端的名称为 MAClient ，并且 McAfee ePO 服务器的名称为 EPOServer 。

MA 通过从安装在端点上的所有产品中收集属性来开始 ASCI 会话。在此示例中，MA 是端点上安装的唯一产品。
端点上的日志 masvc_MAClient.log 显示：

masvc(1228.1240) property.Info: Collecting Properties
masvc(1228.1240) publisher.Info: message <ma.property.collect> will be sent after <0> seconds.
masvc(1228.1240) property.Info: Property collection session initiated for PropsVersion with session id 5696.
masvc(1228.1240) property.Info: Properties received from EPOAGENT3000 provider
masvc(1228.1240) property.Info: Properties received from SYSPROPS1000 provider
masvc(1228.1240) property.Info: Finished Collecting Properties

接下来，MA 生成由 ePO 使用的属性版本（ PropsVersion ），以确定客户端是否需要发送完整属性包。或者，如果 MA 发送的增量包是可接受的。
端点上的日志 masvc_MAClient.log 显示：

masvc(1228.1240) property.Info: Agent started performing ASCI
masvc(1228.1240) ahclient.Info: Scheduling spipe connection with "immediate" priority.
masvc(1228.1240) ahclient.Info: Start processing spipe connection request.
masvc(1228.1240) property.Info: Agent is sending PROPS VERSION package to McAfee ePO server
masvc(1228.1240) DataChannel.Manager.Info: DataChannel Service ignoring decoration of SPIPE package for: { PropsVersion }

MA interrogates 包含可用代理处理程序列表（AH）的 MA.DB 文件，并尝试连接到具有最高优先级的 AH。
端点上的日志 masvc_MAClient.log 显示：

代理处理程序接收属性版本，如果接受，则向客户端发送 HTTP 202（已接受）响应。或者，处理程序可能会请求客户端发送完整属性包。
例如，如果计算机已从 ePO 中的系统树中删除，它将没有属性，它会请求 MA 发送完整的属性包。
示例： Server_EPOServer.log 文件在代理处理程序显示接受增量属性的服务器：

I #04412 NAIMSERV Received [PropsVersion] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB}
I #04412 NAIMSERV Using attached Props.xml props from node MACLIENT
I #04412 NAIMSERV Processing agent props for MACLIENT(AB7E05EC-51EA-11E7-3E72-005056011DFB)
I #04412 EPODAL System attribute change - Old value: 20180517180553 to New value: 20180517181443
I #04412 NAIMSERV Sending props response for agent MACLIENT, agent has up-to-date policy
I #04412 NAIMSERV Processed [PropsVersion] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB} in 31ms
I #04412 MOD_EPO epo request processed, rc=202, session ID=9, session time=31m

MA 随后会生成策略清单请求并将其发送至代理处理程序。AH 使用策略清单来确定代理是否具有最新策略。或者，如果它需要一个或多个产品的新策略包。
端点上的日志 masvc_MAClient.log 显示：

masvc(1228.1240) io.service.Info: Next collect and send properties in 51 minutes and 10 seconds.
masvc(1228.1240) ahclient.Info: Scheduling spipe connection with "immediate" priority.
masvc(1228.1240) ahclient.Info: Start processing spipe connection request.
masvc(1228.1240) DataChannel.Manager.Info: DataChannel Service ignoring decoration of SPIPE package for : { PolicyManifestRequest }
masvc(1228.1240) ahclient.Info: Agent communication session started
masvc(1228.1240) ahclient.Info: Agent is connecting to ePO Server
masvc(1228.1240) ahclient.Info: Initiating spipe connection to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.

McAfee Agent 会发送可能正等待转发到 ePO 的任何事件。在此示例中，端点日志显示没有事件正在等待转发。
端点上的日志 masvc_MAClient.log 显示：

masvc(1228.1240) event.Info: Agent is looking for events to upload
masvc(1228.1240) event.Info: Agent did not find any events to upload

代理处理程序会查看策略清单请求并提供对 MA 的响应。

处理程序上的日志 Server_EPOServer.log 显示：

I #04412 NAIMSERV Received [PolicyManifestRequest] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB}

I #04412 NAIMSERV Processed [PolicyManifestRequest] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB} in 31ms

I #04412 NAIMSERV Signing agent response package with key Z0IONRUNRak+x0h273mXbWi4OFxCjysQyUhdunCsBbM=

I #04412 MOD_EPO epo request processed, rc=0, session ID=10, session time=47ms

McAfee Agent 会以新策略包的形式接收对策略清单请求的响应。然后，它结束 ASCI 会话。

端点上的日志 masvc_MAClient.log 显示：

masvc(1228.1240) ahclient.Info: connection initiated to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(1228.1240) ahclient.Info: Network library rc = <1008>, Agent Handler reports response code <200>.
masvc(1228.1240) ahclient.Info: Agent Handler reports spipe package received. Response code 200.
masvc(1228.1240) ahclient.Info: Spipe connection response received, network return code = 1008, response code 200.
masvc(1228.1240) policy.Info: Agent received POLICY package from ePO Server
masvc(1228.1240) ahclient.Info: Agent communication session closed

识别文件中 ASCI 失败masvc_<computer_name>.log ：

如果 ASCI 会话失败，第一步解决该问题是确定客户端上的日志文件中的错误情况。需要在客户端上检查的日志为 masvc_<computer_name>.log 。此日志的默认位置为 C:\ProgramData\McAfee\Agent\Logs 。

使用以下方法隔离错误：

masvc_<computer_name>.log打开 ASCI 上客户端失败。

导航到日志文件的底部。

Agent is connecting to ePO Server搜索。

从该位置向下滚动，并查找显示 MA 尝试连接处理程序的日志条目。它写入了上面显示的几行。

以下部分涵盖了您可能遇到的常见问题和错误的一些示例。识别错误后，请使用解决方案部分指导您对错误进行故障排除。

下面的每个问题部分都会突出显示 ASCI 会话可能会失败的特定错误情况，并提供一些常见原因和解决方案。

请注意，MA 使用 libcurl 库建立与代理处理程序的连接，因此许多 ASCI 会话均会失败，并显示卷曲错误代码。
有关 CURL 错误代码的完整列表，请参阅 https://curl.haxx.se/libcurl/c/libcurl-errors.html

解决方案

内容：
单击以展开要查看的部分：

MA 无法使用卷错误7（连接时失败）连接到 AH，从而无法连接到主机或代理。

症状 - masvc_MAClient.log 文件显示代理无法与 McAfee ePO 服务器建立连接，出现卷错误7：

masvc(5308.2396) ahclient.Info: Agent communication session started
masvc(5308.2396) ahclient.Info: Agent is connecting to ePO server
masvc(5308.2396) ahclient.Info: Initiating spipe connection to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(5308.2396) ahclient.Info: connection initiated to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(5308.2396) network.Notice: URL(https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4) request failed with curl error <7>, response code <0>, http connect code 0
masvc(5308.2396) ahclient.Info: Network library rc = <1007>, Agent Handler reports response code <0>.

常见原因和解决方案：

原因 1	McAfee ePolicy Orchestrator 服务器服务（称为 Apache）未启动。
验证 1	在代理处理程序上打开 services.msc ，并查看该服务是否已启动。
解决方案1	如果服务已停止，则启动该服务。

原因 2	MA 用于 AH 的 IP 地址不正确
验证 2	在代理处理程序的命令。提示下，运行 IPConfig 并查看 IP 地址是否与 MA 尝试使用的 IP 地址相匹配。注意: 在上面的示例中 MA 使用 192.168.1.1.
解决方案2	更正 IP 地址不匹配问题（如果存在）。

原因 3

MA 用于 AH 的端口号不正确。

验证 3

从处理程序的提升的命令。提示中，键入以下内容：

Netstat -anb > netstat.txt

然后查看输出（ netstat.txt ），并查看 Apache.exe 是否正在侦听正确的端口。
注意: 在上面的示例中，端口为 443 。

解决方案 3

仅重新安装 McAfee Agent：

如果只有少数客户端需要它
或
如果所有或多个客户端受到影响

您可以更改 AH 侦听的端口，使其与客户端所使用的端口相匹配。
相关文章：

KB72936-如何更改 ePolicy Orchestrator 代理与服务器之间的通信安全端口.

如果 Apache.exe 根本不在任何端口上侦听，请检查该服务是否已启动。

原因 4	在 MA 和 AH 之间不存在任何路由，可能是因为防火墙阻止了该路由。
验证 4	telnet如果您已确认以下情况，请使用命令。： IP 地址正确端口是否正确 AH 正在侦听端口。要验证是否可以建立连接，请键入 telnet 192.168.1.1 443
解决方案 4	在环境中与网络团队协同工作，确保以下两个项目都是正确的：客户端与 AH 之间存在路由。没有防火墙或代理阻止连接。

MA 无法连接至 AH，出现 curl 错误 6（无法解析主机。给定的远程主机未解析。）

症状- 更新失败
I #12872 network URL(https://eposerver.domain.local:443/Software/SiteStat.xml?hash={ab7e05ec-51ea-11e7-3e72-005056011dfb}) request, failed with curl error 6, Response 0, Connect code 0,
[73125] (2800947648) [network] [I] URL(http://ePOSserver.domain.local:18102/Software/SiteStat.xml) request submitting
[73125] (2800947648) [network] [D] text 48 Could not resolve host: ePOServer.domain.local
[73125] (2800947648) [network] [D] text 21 Closing connection 0 [73125] (2800947648) [network] [I] URL(http://eposerver.domain.local:18102/Software/SiteStat.xml) request, failed with curl error 6, Response 0, Connect code 0, Update failures:

Communication failure: masvc(7056.3188) network.Error: URL(https://eposerver.domain.local:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0) request, failed with curl error 6, Response

常见原因和解决方案：

原因 1	注入 Winsock loading dll into mcscript（或其他 dll）
验证 1	The MFEMACTL log file 记录错误： mfemactl.Info: The process <C:\PROGRAM FILES\MCAFEE\AGENT\X86\MCSCRIPT_INUSE.EXE>(6488) was blocked from accessing ('CREATE' (1)) <AAC_OBJECT_SECTION:C:\PROGRAM FILES (X86)\COMMON FILES\NSL\NSLSP.DLL> via the rule <Sanitize selected MA Processes>
解决方案1	mfesysprep 运行工具或信任违犯的 dll。相关文章： KB88085 - 第三方 DLL 注入器、代码循环和挂接. KB93263-McAfee Agent 无法更新或部署由于不受信任或未签名的 DLL 而导致的产品.

原因 2	内部 DNS 服务器无法访问或无法解析站点。
验证 2	网络问题或内部 DNS 服务器无法正常工作， nslookup 系统无法解析主机或无法对系统进行 ping 操作。
解决方案2	客户必须解决内部 DNS 和网络问题。

原因 3	客户端仅使用 IPV6，但 ePO 和存储库正在使用 ipv4。
验证 3	网络接口卡属性仅显示客户端上已启用的 IPV4/IPV6。存储库配置为使用 IPV4。
解决方案 3	任一：客户端上启用 IPV4 或在存储库上启用 IPV6。

原因 4	代理或防火墙正在截取证书，并以其自己的证书代表 ePO 服务器进行响应。
验证 4	Wireshark 跟踪清晰显示 MA 正在进行无法处理的证书请求。
解决方案 4	将 ePO 证书上载到代理或防火墙。相关文章： KB87820-当使用 SSL 时，如何将负载平衡器与代理处理程序一起使用. 上述应用程序也适用于使用自己的证书进行响应的防火墙或代理服务器。

原因 5	客户端上的 DNS 配置不正确。
验证 5	命令。 Ipconfig 显示外部 DNS 服务器（ Google's 8.8.8.8 例如），而不是内部 DNS 服务器。
解决方案 5	在客户端上配置正确的 DNS 服务器。

MA 无法使用 HTTP 503 连接到 AH，服务器正忙。

症状 - masvc_MAClient.log 显示错误：

masvc(4392.624) ahclient.Info: Network library rc = <1008>, Agent Handler reports response code <503>.
masvc(4392.624) ahclient.Info: Agent Handler reports server busy. Response code 503.

HTTP 503 是一个特别的错误情况，因为它表示存在服务器端问题。代理连接正在访问处理程序（或者有时是沿着网络路径访问另一设备）且被拒绝。

McAfee Agent 将此服务器端客户端拒绝报告为 HTTP 503 或 "服务器正忙" 情况。实际的 "服务器忙" 或 "最大连接" 状态不是这些消息的唯一潜在来源：

常见原因和解决方案：

原因 1	McAfee ePolicy Orchestrator 服务器服务（ Apache.exe ）已达到其连接限制。
验证 1	使用 ePO 内置 perfmon 计数器跟踪传入的 vs 与已处理的连接。相关文章： KB77680-数据收集-如何使用 ePO 计数器收集记录的性能监视器数据. 该 Server_server_name.log 文件会记录一个明确指出 "最大连接" 的消息 E #06504 MOD_EPO mod_epo.cpp(330): Server is too busy (245 connections) to process request
解决方案1	必须先了解最大连接数状态的原因，然后才能实施解决方案计划。通常，最大连接状态有两个不同的原因：传入的请求数超过可处理的数量。代理处理程序会处理正常的传入请求数（峰值到 10+），但无法保持。在此情况下，配置更改（文件请求较少，ASCI 间隔减少，添加代理处理程序）可能足以删除最大连接方案。代理处理程序无法及时处理连接。如果 perfmon 显示每秒完成的代理请求数为低（始终不到 3 个），更有可能是此情况。

原因 2

Apache.exe 无法处理传入的客户端属性。

验证 2

查看 server_servername.log 。验证所查看的通信握手是否与您要进行故障排除的系统相匹配。

以下所提供的错误消息与属性处理失败相关联：

E #11780 NAIMSERV servdal.cpp(1911): Failed to load props.xml file
E #11780 NAIMSERV servdal.cpp(2155): Modify agent props failed!
E #11780 NAIMSERV AgentServerCommHandler.cpp(691): Failed to process agent request

解决方案2

损坏的属性可以来自多个位置;此问题的解决方法取决于已损坏的属性。
示例：如果代理从某个已安装的托管产品中提取损坏的属性，则解决方法可能是修复托管产品损坏。通过删除属性文件、重新安装托管产品或联系此托管产品的支持来实现。

如果损坏的属性来自 McAfee Agent，则可能会通过删除代理并重新安装来解决此问题。

要确定已损坏的属性文件，请执行以下操作：

在客户端系统正尝试与之通信的 ePO 服务器或代理处理程序上查看服务器日志。
在 ePO 服务器或代理处理程序上启用日志级别8记录，然后重现代理与服务器的通信问题。
立即打开并查看 ePO 服务器或代理处理程序上的服务器日志。然后找到 "加载客户端尝试通信时发生的属性 .xml 错误" 失败。
查看其他日志活动，了解有关加载失败的属性的信息。

要确定哪个特定属性导致通信进程中出现问题，需要为其启用日志级别8（调试级）日志记录 server_name.log file. This action 。
相关文章：

KB56207 - 数据收集 - 有关如何为 ePolicy Orchestrator 故障排除启用日志级别 8 的说明.

MA 无法连接到处理程序，出现 curl 错误28

症状 - masvc_MAClient.log 文件记录错误卷曲错误28：

masvc(9048.11192) network.Notice: URL(https://NMFDCRSEC022050:443/spipe/pkg?AgentGuid={3f95be54-3b3a-11e7-17a6-00155d254c03}&Source=Agent_3.0.0) request failed with curl error <28>, response code <0>, http connect code 0

常见原因和解决方案：

原因 1	与 ePO 通信时发生超时。
验证 1	当您 ping 服务器或使用 nslookup 时，系统所连接的服务器无法连接
解决方案1	查看负载平衡器日志，并验证路由未重定向。

MA 无法连接到处理程序，出现卷错误35

症状 - masvc_MAClient.log 文件记录卷曲的错误35：

masvc(2756.1712) network.Notice: URL(https://ePOSERVER:443/spipe/pkg?AgentGuid=%7B6551a5be-d9c4-11ea-335a-6c2b59aa3f75%7D&Source=Agent_3.0.0) request failed with curl error <35>, response code <0>, http connect code 0

常见原因和解决方案：

原因 1	SSL 或 TLS 握手中的某个位置发生问题。
验证 1	Wireshark 跟踪会显示 MA 正在发出证书请求。出示给 ePO 的证书名称不正确，或 SHA 不正确。
解决方案1	在一台计算机上使用从 ePO 服务器新建 framepkg 的文件重新安装 Mcafee Agent。再次查看 Wireshark 跟踪，并验证没有代理或防火墙装置正在检查/阻止通信。验证握手在客户端与服务器之间是否成功。

MA 无法连接到处理程序，出现卷曲错误56或60

症状 - masvc_MAClient.log 文件记录卷曲错误56或60错误：

masvc(7116.1512) network.Notice: URL(https://ePOSERVER:443/spipe/pkg?AgentGuid={7bc81e2c-dc0d-11ea-1fda-005056b0e077}&Source=Agent_3.0.0) request failed with curl error <56>, response code <0>, http connect code 0

masvc(6456.6604) network.Notice: URL(https://ePOSERVER:443/spipe/pkg?AgentGuid={4c518c68-c11a-11ea-289e-00059a3c7a00}&Source=Agent_3.0.0) request failed with curl error <60>, response code <0>, http connect code 0

常见原因和解决方案：

原因 1	代理或防火墙正在截取证书，并以其自己的证书代表 ePO 服务器进行响应。
验证 1	Wireshark 跟踪显示 MA 正在进行无法处理的证书请求。
解决方案1	确认没有代理检查或更改进入ePO服务器的流量数据

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

如何对 McAfee Agent 中代理与服务器之间的通信故障进行故障排除 5.x

环境

摘要

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何对 McAfee Agent 中代理与服务器之间的通信故障进行故障排除 5.x

环境

摘要

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title