InfraFenceInfraFence

Live Security Operations

Commencer

Résolution des problèmes

Résoudre les problèmes courants d'InfraFence - serveur qui ne répond plus, erreurs d'installation et d'enregistrement, jetons expirés, journaux introuvables, conflits de pare-feu, ipset et blocage par pays - avec les vrais messages à chercher.

Dernière mise à jour:

Lire le journal de l'agent

bash
journalctl -u infrafence-agent -f
journalctl -u infrafence-agent -n 50 --no-pager

Avec upstart ou sysvinit, l'agent écrit dans syslog : tail -f /var/log/syslog | grep infrafence-agent. Les lignes sont étiquetées par composant : [firewall], [webwatcher], [api], [updater], [protection] et ainsi de suite.

Le contrôle en lecture seule est souvent le diagnostic le plus rapide :

bash
sudo infrafence-agent preflight

Le serveur affiche « Ne répond plus »

  1. Le service tourne-t-il ? systemctl status infrafence-agent. Sinon, journalctl -u infrafence-agent -n 50 --no-pager dit pourquoi.
  2. Le serveur peut-il joindre le tableau de bord ? curl -sI https://infrafence.com depuis le serveur. Une ligne comme [main] warning: could not resolve API host désigne le DNS.
  3. Le tableau de bord refuse-t-il l'agent ? Cherchez [api] ERROR: the dashboard refused the agent token (401) (le serveur a été supprimé ou son jeton révoqué : réinstallez avec un nouveau jeton et --force-register) ou the dashboard says this organization is SUSPENDED (403). Voir Quand le tableau de bord est injoignable.

L'agent envoie un signal toutes les 60 secondes : un serveur revient donc en moins d'une minute une fois la cause corrigée.

Erreurs d'installation et d'enregistrement

Message Que faire
Install token is required Ajoutez --token <TOKEN>. Seul un serveur déjà enregistré, ou un dry run (--dry-run), peut lancer l'installateur sans jeton.
This script must be run as root Lancez-le avec sudo.
Unsupported architecture Seuls x86-64 et ARM64 sont pris en charge.
No supported init system found Le serveur a besoin de systemd, upstart ou sysvinit. Sinon, utilisez Docker.
No package manager found (apt-get, yum, dnf) Installez curl, iptables et ca-certificates à la main, puis relancez l'installateur.
Another package operation is running — waiting for it to finish... L'installateur attend jusqu'à 5 minutes qu'apt, dnf ou yum ait terminé. S'il abandonne, terminez cette opération et relancez-le.
Dependency installation failed L'encadré affiche la commande à lancer à la main (par exemple apt-get update --fix-missing && apt-get install -y ca-certificates curl iptables).
Download failed Le serveur ne peut pas joindre GitHub. L'agent se télécharge uniquement depuis github.com et release-assets.githubusercontent.com : les deux doivent être joignables en HTTPS. Vérifiez le pare-feu, un éventuel proxy et les certificats CA (ca-certificates).
Could not download the checksum from … La somme de contrôle de la release est obligatoire, donc rien n'a été installé. Faites les mêmes vérifications que pour Download failed, puis relancez l'installateur. --skip-checksum installe sans vérifier le binaire : ce n'est pas sûr, à n'utiliser que si vous savez pourquoi la somme de contrôle ne peut pas être récupérée.
Checksum mismatch: the downloaded agent is not the published release and was not installed. Le téléchargement a été altéré ou tronqué, souvent par un proxy. Rien n'a été installé. Relancez l'installateur.
The Let's Encrypt root CA in this script does not match its fingerprint; not using it. L'installateur lui-même a été endommagé en route. Téléchargez-le à nouveau.
Registration failed L'encadré liste les causes habituelles : Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan.

Le jeton a expiré

Les jetons d'installation sont à usage unique et valables une heure. Générez-en un nouveau dans Serveurs › Ajouter un serveur et relancez la commande. En Starter, un jeton non utilisé et non expiré compte dans la limite d'un serveur jusqu'à ce qu'il expire ou que vous le révoquiez dans Paramètres › Jetons d'installation.

Aucune attaque web détectée

Si le journal indique [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override), l'agent n'a pas trouvé vos journaux d'accès. Indiquez-les-lui :

bash
sudo systemctl edit infrafence-agent
ini
[Service]
Environment=WEB_LOG_PATH=/path/to/access.log,/path/to/other.log
bash
sudo systemctl restart infrafence-agent

Aucune attaque SSH détectée

Le journal de l'agent nomme la source qu'il lit : reading authentication messages from …. Sous systemd, il utilise le journal. Si votre démon SSH écrit dans un fichier inhabituel, définissez AUTH_LOG_PATH de la même façon que WEB_LOG_PATH.

Conflits de pare-feu

L'agent vérifie ses chaînes chaque minute, et toutes les 5 secondes si son saut dans INPUT est toujours là : quand un autre outil les supprime (csf -r, un rechargement d'ufw ou de firewalld), il les remet en quelques secondes ([firewall] guard: restored … ; en une minute avant l'agent 1.0.33). Pendant que CSF reconstruit le pare-feu, il attend qu'il ait fini, 2 minutes au plus. Si les réparations s'enchaînent, ou se produisent trois fois ou plus en une heure, il signale firewall_conflict : un autre outil réécrit sans cesse le pare-feu (ufw, firewalld, CSF, netfilter-persistent ou un passage d'un outil de gestion de configuration). Les bannissements continuent de fonctionner ; trouvez l'outil qui recharge le pare-feu aussi souvent. Voir Coexistence.

Pour voir les règles de l'agent :

bash
sudo iptables -L INFRAFENCE -n --line-numbers
sudo ipset list infrafence-bans | head

ipset est absent

[firewall] ipset not found — falling back to iptables (limited capacity) : les bannissements fonctionnent toujours, jusqu'à 500. Le blocage par pays et le blocage des listes de menaces se limitent alors à détecter. Installez ipset avec votre gestionnaire de paquets et redémarrez l'agent.

Le blocage par pays ne fait rien

not blocked yet: geoip database not loaded dans le journal (geoblocking disabled avant l'agent 1.0.33) signifie que le serveur n'a pas encore la base des pays, et country database not updated indique pourquoi le téléchargement a échoué : voir Blocage par pays. country blocks NOT applied at kernel level signifie qu'ipset est absent.

Une adresse légitime a été bannie

Dans l'onglet Réseau du serveur, Débannir maintenant, puis Ajouter à la liste blanche pour que cela ne se reproduise plus. Pour les faux positifs web, désactivez le motif ou changez le mode du type d'attaque dans Pare-feu web.

Problèmes de mise à jour

[updater] v<version> available — automatic updates are not turned on (notify only) est normal avec Prévenir seulement : utilisez Installer maintenant ou la commande manuelle. [updater] signature check FAILED signifie que le téléchargement n'a pas été validé : rien n'a été installé. Voir Mettre à jour l'agent.

Je ne reçois pas l'e-mail de confirmation ou de réinitialisation

L'e-mail arrive en général en moins d'une minute. Sinon :

  • Regardez dans le dossier spam ou courrier indésirable, et dans les onglets comme Promotions ou Notifications. Un filtre de messagerie d'entreprise peut le garder en quarantaine : demandez à votre service informatique d'accepter les e-mails d'InfraFence.
  • Vérifiez l'orthographe de l'adresse. Après Mot de passe oublié ? la page indique que le lien a été envoyé si un compte utilise cette adresse : pour votre sécurité, le texte est le même que le compte existe ou non, donc une adresse mal saisie, ou sans compte, ne reçoit rien. Essayez l'adresse utilisée à l'inscription.
  • Nous n'avons pas pu envoyer l'e-mail à cette adresse. Vérifiez qu'elle est correcte ou réessayez dans quelques minutes. signifie que l'e-mail n'est pas parti : l'adresse a été refusée ou l'envoi a échoué un moment. Vérifiez l'adresse et refaites la demande quelques minutes plus tard.
  • Cette adresse ne peut pas recevoir d'e-mails (à l'inscription) : le serveur de messagerie de l'adresse l'a refusée, ou son domaine n'a pas de serveur de messagerie. Utilisez une autre adresse.
  • Ne demandez un nouvel e-mail qu'une fois par minute : une demande trop rapprochée est refusée. Chaque nouveau lien remplace le précédent, utilisez donc l'e-mail le plus récent.

Toujours rien ? Écrivez-nous depuis la page de contact en indiquant l'adresse utilisée.

Les e-mails d'InfraFence n'arrivent pas à une adresse

Le tableau de bord affiche Nous n'avons pas pu remettre d'e-mail à … quand le serveur de messagerie de cette adresse a refusé définitivement les e-mails d'InfraFence : la boîte n'existe pas, ou le domaine n'a pas de serveur de messagerie (aucun enregistrement MX). Le résumé hebdomadaire, le rapport mensuel, les avis de protection et d'essai gratuit et les canaux d'alerte e-mail ignorent alors l'adresse pendant 7 jours, puis la réessaient.

  • Si c'est votre adresse : vérifiez que la boîte existe et que le domaine reçoit des e-mails (son enregistrement MX). Pour utiliser une autre adresse, changez-la dans Paramètres › Compte (Changer votre adresse e-mail) : l'adresse actuelle ne peut pas recevoir son lien de confirmation, ouvrez donc celui envoyé à la nouvelle adresse et écrivez à info@infrafence.com, nous terminons le changement.
  • Si c'est l'adresse d'un autre propriétaire ou admin : prévenez-le par un autre moyen.
  • Un canal d'alerte e-mail avec cette adresse affiche recipient_rejected. Envoyer un test la réessaie tout de suite.

Les problèmes temporaires (un serveur de messagerie occupé ou injoignable) ne sont pas retenus : l'e-mail est réessayé au passage suivant.