InfraFenceInfraFence

Live Security Operations

Loslegen

Fehlerbehebung

Häufige InfraFence-Probleme lösen: Server meldet sich nicht, Installations- und Registrierungsfehler, abgelaufene Tokens, fehlende Logs, Firewall-Konflikte, ipset und Ländersperren, mit den echten Meldungen.

Zuletzt aktualisiert:

Das Log des Agenten lesen

bash
journalctl -u infrafence-agent -f
journalctl -u infrafence-agent -n 50 --no-pager

Mit upstart oder sysvinit schreibt der Agent ins Syslog: tail -f /var/log/syslog | grep infrafence-agent. Die Zeilen sind nach Komponente markiert: [firewall], [webwatcher], [api], [updater], [protection] und so weiter.

Die reine Leseprüfung ist oft die schnellste Diagnose:

bash
sudo infrafence-agent preflight

Der Server zeigt „Meldet sich nicht“

  1. Läuft der Dienst? systemctl status infrafence-agent. Wenn nicht, sagt journalctl -u infrafence-agent -n 50 --no-pager, warum.
  2. Erreicht der Server das Dashboard? curl -sI https://infrafence.com vom Server aus. Eine Zeile wie [main] warning: could not resolve API host deutet auf DNS hin.
  3. Weist das Dashboard den Agenten ab? Suche nach [api] ERROR: the dashboard refused the agent token (401) (der Server wurde entfernt oder sein Token widerrufen: installiere neu, mit einem neuen Token und --force-register) oder the dashboard says this organization is SUSPENDED (403). Siehe Wenn das Dashboard nicht erreichbar ist.

Der Agent sendet alle 60 Sekunden einen Heartbeat, daher meldet sich ein Server innerhalb einer Minute zurück, sobald die Ursache behoben ist.

Installations- und Registrierungsfehler

Meldung Was zu tun ist
Install token is required Füge --token <TOKEN> hinzu. Nur ein bereits registrierter Server oder ein Probelauf (--dry-run) kann den Installer ohne Token ausführen.
This script must be run as root Führe ihn mit sudo aus.
Unsupported architecture Nur x86-64 und ARM64 werden unterstützt.
No supported init system found Der Server braucht systemd, upstart oder sysvinit. Andernfalls nutze Docker.
No package manager found (apt-get, yum, dnf) Installiere curl, iptables und ca-certificates von Hand und führe den Installer dann erneut aus.
Another package operation is running — waiting for it to finish... Der Installer wartet bis zu 5 Minuten, bis apt, dnf oder yum fertig sind. Gibt er auf, schließe diesen Vorgang ab und starte ihn erneut.
Dependency installation failed Der Kasten zeigt den Befehl, den du von Hand ausführen kannst (zum Beispiel apt-get update --fix-missing && apt-get install -y ca-certificates curl iptables).
Download failed Der Server erreicht GitHub nicht. Der Agent wird nur von github.com und release-assets.githubusercontent.com geladen: Beide müssen per HTTPS erreichbar sein. Prüfe die Firewall, einen eventuellen Proxy und die CA-Zertifikate (ca-certificates).
Could not download the checksum from … Die Prüfsumme des Releases ist Pflicht, deshalb wurde nichts installiert. Prüfe dasselbe wie bei Download failed und führe den Installer erneut aus. --skip-checksum installiert, ohne das Binary zu prüfen: unsicher, nur wenn du weißt, warum die Prüfsumme nicht geladen werden kann.
Checksum mismatch: the downloaded agent is not the published release and was not installed. Der Download wurde verändert oder abgeschnitten, oft von einem Proxy. Es wurde nichts installiert. Führe den Installer erneut aus.
The Let's Encrypt root CA in this script does not match its fingerprint; not using it. Der Installer selbst wurde unterwegs beschädigt. Lade ihn erneut herunter.
Registration failed Der Kasten nennt die üblichen Ursachen: Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan.

Das Token ist abgelaufen

Installationstokens sind einmal verwendbar und eine Stunde gültig. Erzeuge unter Server › Server hinzufügen ein neues und führe den Befehl erneut aus. Bei Starter zählt ein unbenutztes, nicht abgelaufenes Token gegen das Limit von einem Server, bis es abläuft oder du es unter Einstellungen › Installations-Tokens widerrufst.

Keine Web-Angriffe erkannt

Steht im Log [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override), hat der Agent deine Access-Logs nicht gefunden. Gib sie ihm an:

bash
sudo systemctl edit infrafence-agent
ini
[Service]
Environment=WEB_LOG_PATH=/path/to/access.log,/path/to/other.log
bash
sudo systemctl restart infrafence-agent

Keine SSH-Angriffe erkannt

Das Agent-Log nennt die Quelle, die er liest: reading authentication messages from …. Unter systemd nutzt er das Journal. Schreibt dein SSH-Daemon in eine ungewöhnliche Datei, setze AUTH_LOG_PATH auf dieselbe Weise wie WEB_LOG_PATH.

Firewall-Konflikte

Der Agent prüft seine Ketten jede Minute und alle 5 Sekunden, ob sein Sprung in INPUT noch da ist: Entfernt ein anderes Tool sie (csf -r, ein Reload von ufw oder firewalld), stellt er sie in wenigen Sekunden wieder her ([firewall] guard: restored …; vor Agent 1.0.33 innerhalb einer Minute). Während CSF die Firewall neu aufbaut, wartet er, bis CSF fertig ist, höchstens 2 Minuten. Folgen Reparaturen direkt aufeinander oder passieren sie drei- oder mehrmals in einer Stunde, meldet er firewall_conflict: Ein anderes Tool schreibt die Firewall ständig neu (ufw, firewalld, CSF, netfilter-persistent oder ein Lauf eines Konfigurationsmanagements). Sperren funktionieren weiter; finde das Tool, das die Firewall so oft neu lädt. Siehe Koexistenz.

Um die Regeln des Agenten zu sehen:

bash
sudo iptables -L INFRAFENCE -n --line-numbers
sudo ipset list infrafence-bans | head

ipset fehlt

[firewall] ipset not found — falling back to iptables (limited capacity): Sperren funktionieren weiterhin, bis zu 500. Ländersperren und das Blockieren über Bedrohungslisten erkennen dann nur noch, ohne zu sperren. Installiere ipset mit deinem Paketmanager und starte den Agenten neu.

Ländersperren wirken nicht

not blocked yet: geoip database not loaded im Log (geoblocking disabled vor Agent 1.0.33) bedeutet, dass der Server noch keine Länderdatenbank hat, und country database not updated sagt, warum der Download fehlschlug: siehe Ländersperre. country blocks NOT applied at kernel level bedeutet, dass ipset fehlt.

Eine legitime Adresse wurde gesperrt

Wähle im Tab Netzwerk des Servers Jetzt entsperren und dann Zur Whitelist hinzufügen, damit es nicht wieder passiert. Bei Fehlalarmen im Web schalte das Muster aus oder ändere den Modus des Angriffstyps unter Web-Firewall.

Probleme mit Updates

[updater] v<version> available — automatic updates are not turned on (notify only) ist mit Nur benachrichtigen zu erwarten: Nutze Jetzt installieren oder den manuellen Befehl. [updater] signature check FAILED bedeutet, dass der Download die Prüfung nicht bestanden hat: Es wurde nichts installiert. Siehe Den Agenten aktualisieren.

Ich bekomme die Bestätigungs- oder Reset-E-Mail nicht

Die E-Mail kommt normalerweise innerhalb einer Minute an. Wenn nicht:

  • Sieh im Spam- oder Junk-Ordner nach und in Tabs wie Werbung oder Benachrichtigungen. Ein Mailfilter in deinem Unternehmen kann sie in Quarantäne halten: Bitte deine IT, E-Mails von InfraFence zuzulassen.
  • Prüfe die Adresse auf Tippfehler. Nach Passwort vergessen? steht auf der Seite, dass der Link gesendet wurde, wenn ein Konto diese Adresse nutzt: Zu deiner Sicherheit steht dort dasselbe, ob es das Konto gibt oder nicht, also bekommt eine falsch geschriebene Adresse oder eine ohne Konto nichts. Versuche es mit der Adresse, mit der du dich registriert hast.
  • Wir konnten die E-Mail nicht an diese Adresse senden. Prüfe, ob sie stimmt, oder versuche es in ein paar Minuten noch einmal. heißt, dass die E-Mail nicht rausging: Die Adresse wurde abgelehnt oder der Versand ist kurz fehlgeschlagen. Prüfe die Adresse und frag ein paar Minuten später noch einmal an.
  • Diese Adresse kann keine E-Mails empfangen (bei der Registrierung): Der Mailserver der Adresse hat sie abgelehnt, oder ihre Domain hat keinen Mailserver. Verwende eine andere Adresse.
  • Fordere höchstens einmal pro Minute eine neue E-Mail an: Eine zu frühe Anfrage wird abgelehnt. Jeder neue Link ersetzt den vorherigen, nutze also die neueste E-Mail.

Immer noch nichts? Schreib uns über die Kontaktseite und nenne die Adresse, die du verwendet hast.

E-Mails von InfraFence erreichen eine Adresse nicht

Das Dashboard zeigt Wir konnten keine E-Mail an … zustellen, wenn der Mailserver dieser Adresse die E-Mails von InfraFence dauerhaft abgelehnt hat: Das Postfach gibt es nicht, oder die Domain hat keinen Mailserver (kein MX-Eintrag). Die Wochenübersicht, der Monatsbericht, die Schutz- und Testphasen-Hinweise und die E-Mail-Alarmkanäle überspringen die Adresse dann 7 Tage lang und versuchen es danach erneut.

  • Wenn es deine Adresse ist: Prüfe, ob das Postfach existiert und die Domain E-Mails empfängt (ihr MX-Eintrag). Um eine andere Adresse zu verwenden, ändere sie unter Einstellungen › Konto (Deine E-Mail-Adresse ändern): Die aktuelle Adresse kann ihren Bestätigungslink nicht empfangen, also öffne den Link an die neue Adresse und schreib an info@infrafence.com, dann schließen wir die Änderung ab.
  • Wenn es die Adresse eines anderen Inhabers oder Admins ist: Sag ihm auf anderem Weg Bescheid.
  • Ein E-Mail-Alarmkanal mit dieser Adresse zeigt recipient_rejected. Test senden probiert sie sofort erneut.

Vorübergehende Probleme (ein ausgelasteter oder nicht erreichbarer Mailserver) werden nicht gespeichert: Die E-Mail wird beim nächsten Lauf erneut versucht.