InfraFenceInfraFence

Live Security Operations

Empezar

Solución de problemas

Resuelve los problemas habituales de InfraFence - un servidor que no informa, errores de instalación y registro, tokens caducados, registros que faltan, conflictos de firewall, ipset y bloqueo por país - con los mensajes reales que hay que buscar.

Última actualización:

Lee el registro del agente

bash
journalctl -u infrafence-agent -f
journalctl -u infrafence-agent -n 50 --no-pager

Con upstart o sysvinit el agente escribe en syslog: tail -f /var/log/syslog | grep infrafence-agent. Las líneas llevan la etiqueta de la parte que las escribe: [firewall], [webwatcher], [api], [updater], [protection] y así sucesivamente.

La revisión de solo lectura suele ser el diagnóstico más rápido:

bash
sudo infrafence-agent preflight

El servidor muestra "No informa"

  1. ¿Se está ejecutando el servicio? systemctl status infrafence-agent. Si no, journalctl -u infrafence-agent -n 50 --no-pager dice por qué.
  2. ¿Llega el servidor al panel? curl -sI https://infrafence.com desde el servidor. Una línea como [main] warning: could not resolve API host apunta al DNS.
  3. ¿Rechaza el panel al agente? Busca [api] ERROR: the dashboard refused the agent token (401) (el servidor se eliminó o su token se revocó: instala de nuevo con un token nuevo y --force-register) o the dashboard says this organization is SUSPENDED (403). Consulta Cuando el panel no está disponible.

El agente envía un heartbeat cada 60 segundos, así que un servidor vuelve en menos de un minuto una vez resuelta la causa.

Errores de instalación y registro

Mensaje Qué hacer
Install token is required Añade --token <TOKEN>. Solo un servidor ya registrado, o un dry run (--dry-run), puede ejecutar el instalador sin él.
This script must be run as root Ejecútalo con sudo.
Unsupported architecture Solo se admiten x86-64 y ARM64.
No supported init system found El servidor necesita systemd, upstart o sysvinit. Si no, usa Docker.
No package manager found (apt-get, yum, dnf) Instala curl, iptables y ca-certificates a mano y vuelve a ejecutar el instalador.
Another package operation is running — waiting for it to finish... El instalador espera hasta 5 minutos a que apt, dnf o yum terminen. Si se rinde, termina esa operación y vuelve a ejecutarlo.
Dependency installation failed El recuadro muestra el comando que hay que ejecutar a mano (por ejemplo apt-get update --fix-missing && apt-get install -y ca-certificates curl iptables).
Download failed El servidor no llega a GitHub. El agente solo se descarga de github.com y release-assets.githubusercontent.com: los dos tienen que ser accesibles por HTTPS. Comprueba el firewall, cualquier proxy y los certificados CA (ca-certificates).
Could not download the checksum from … El checksum de la release es obligatorio, así que no se instaló nada. Haz las mismas comprobaciones que para Download failed y vuelve a ejecutar el instalador. --skip-checksum instala sin verificar el binario: es inseguro, úsalo solo si sabes por qué no se puede descargar el checksum.
Checksum mismatch: the downloaded agent is not the published release and was not installed. La descarga se alteró o quedó incompleta, a menudo por un proxy. No se instaló nada. Vuelve a ejecutar el instalador.
The Let's Encrypt root CA in this script does not match its fingerprint; not using it. El propio instalador se dañó por el camino. Descárgalo de nuevo.
Registration failed El recuadro enumera las causas habituales: Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan.

El token caducó

Los tokens de instalación son de un solo uso y valen una hora. Genera uno nuevo en Servidores › Añadir servidor y vuelve a ejecutar el comando. En Starter, un token sin usar y sin caducar cuenta para el límite de un servidor hasta que caduca o lo revocas en Ajustes › Tokens de instalación.

No se detectan ataques web

Si el registro dice [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override), el agente no encontró tus registros de acceso. Indícale dónde están:

bash
sudo systemctl edit infrafence-agent
ini
[Service]
Environment=WEB_LOG_PATH=/path/to/access.log,/path/to/other.log
bash
sudo systemctl restart infrafence-agent

No se detectan ataques SSH

El registro del agente indica la fuente que lee: reading authentication messages from …. Con systemd usa el journal. Si tu demonio SSH escribe en un archivo poco habitual, define AUTH_LOG_PATH igual que WEB_LOG_PATH.

Conflictos de firewall

El agente revisa sus cadenas cada minuto, y cada 5 segundos si su salto en INPUT sigue ahí, así que cuando otra herramienta las elimina (csf -r, una recarga de ufw o firewalld) las repone en segundos ([firewall] guard: restored …; en un minuto antes del agente 1.0.33). Mientras CSF reconstruye el firewall, espera a que termine, 2 minutos como máximo. Si las reparaciones llegan una tras otra, o tres o más veces en una hora, notifica firewall_conflict: otra herramienta reescribe el firewall una y otra vez (ufw, firewalld, CSF, netfilter-persistent o una ejecución de gestión de la configuración). Los bloqueos siguen funcionando; busca la herramienta que recarga el firewall tan a menudo. Consulta Coexistencia.

Para ver las reglas del agente:

bash
sudo iptables -L INFRAFENCE -n --line-numbers
sudo ipset list infrafence-bans | head

Falta ipset

[firewall] ipset not found — falling back to iptables (limited capacity): los bloqueos siguen funcionando, hasta 500. El bloqueo por país y el bloqueo de las listas de amenazas pasan entonces a solo detectar. Instala ipset con tu gestor de paquetes y reinicia el agente.

El bloqueo por país no hace nada

not blocked yet: geoip database not loaded en el registro (geoblocking disabled antes del agente 1.0.33) significa que el servidor aún no tiene la base de datos de países, y country database not updated indica por qué falló la descarga: consulta Bloqueo por país. country blocks NOT applied at kernel level significa que falta ipset.

Se bloqueó una dirección legítima

En la pestaña Red del servidor, Desbloquear ahora y luego Añadir a la lista blanca para que no vuelva a ocurrir. Para los falsos positivos web, desactiva el patrón o cambia el modo del tipo de ataque en Web firewall.

Problemas con las actualizaciones

[updater] v<version> available — automatic updates are not turned on (notify only) es lo esperado con Solo avisar: usa Instalar ahora o el comando manual. [updater] signature check FAILED significa que la descarga no se pudo verificar: no se instaló nada. Consulta Actualizar el agente.

No recibo el correo de confirmación o de restablecimiento

El correo suele llegar en menos de un minuto. Si no llega:

  • Mira en la carpeta de spam o correo no deseado, y en pestañas como Promociones o Notificaciones. Un filtro del correo de tu empresa puede retenerlo en cuarentena: pide a tu equipo de TI que acepte los correos de InfraFence.
  • Comprueba que la dirección esté bien escrita. Tras ¿Olvidaste tu contraseña? la página dice que el enlace se ha enviado si hay una cuenta con esta dirección: por tu seguridad el texto es el mismo exista o no la cuenta, así que una dirección mal escrita, o sin cuenta, no recibe nada. Prueba con la dirección con la que te registraste.
  • No pudimos enviar el correo a esta dirección. Comprueba que sea correcta o vuelve a intentarlo en unos minutos. significa que el correo no salió: la dirección fue rechazada o el envío falló un momento. Comprueba la dirección y vuelve a pedirlo unos minutos después.
  • Esta dirección no puede recibir correo (al registrarte): el servidor de correo de la dirección la rechazó, o su dominio no tiene servidor de correo. Usa otra dirección.
  • Pide un correo nuevo como mucho una vez por minuto: una solicitud demasiado seguida se rechaza. Cada enlace nuevo sustituye al anterior, así que usa el correo más reciente.

¿Sigue sin llegar? Escríbenos desde la página de contacto con la dirección que usaste.

Los emails de InfraFence no llegan a una dirección

El panel muestra No pudimos entregar emails a … cuando el servidor de correo de esa dirección rechazó los emails de InfraFence de forma definitiva: el buzón no existe, o el dominio no tiene servidor de correo (ningún registro MX). El resumen semanal, el informe mensual, los avisos de protección y de prueba gratuita y los canales de alertas por email omiten entonces la dirección durante 7 días y después la intentan de nuevo.

  • Si es tu dirección: comprueba que el buzón existe y que el dominio recibe correo (su registro MX). Para usar otra dirección, cámbiala en Ajustes › Cuenta (Cambiar tu dirección de email): la dirección actual no puede recibir su enlace de confirmación, así que abre el enviado a la dirección nueva y escribe a info@infrafence.com, y completamos el cambio.
  • Si es la dirección de otro propietario o admin: avísale por otra vía.
  • Un canal de alertas por email con esa dirección muestra recipient_rejected. Enviar prueba la intenta de nuevo al momento.

Los problemas temporales (un servidor de correo ocupado o inaccesible) no se recuerdan: el email se intenta de nuevo en la siguiente ejecución.