InfraFenceInfraFence

Live Security Operations

Inizia

Risoluzione dei problemi

Risolvi i problemi comuni di InfraFence: server che non risponde, errori di installazione, token scaduti, log mancanti, conflitti col firewall, ipset e blocco per paese.

Ultimo aggiornamento:

Leggi il log dell'agente

bash
journalctl -u infrafence-agent -f
journalctl -u infrafence-agent -n 50 --no-pager

Con upstart o sysvinit l'agente scrive su syslog: tail -f /var/log/syslog | grep infrafence-agent. Le righe sono etichettate per componente: [firewall], [webwatcher], [api], [updater], [protection] e così via.

Il controllo in sola lettura è spesso la diagnosi più rapida:

bash
sudo infrafence-agent preflight

Il server mostra "Non risponde"

  1. Il servizio è in esecuzione? systemctl status infrafence-agent. Se non lo è, journalctl -u infrafence-agent -n 50 --no-pager dice perché.
  2. Il server raggiunge la dashboard? curl -sI https://infrafence.com dal server. Una riga come [main] warning: could not resolve API host indica un problema di DNS.
  3. La dashboard rifiuta l'agente? Cerca [api] ERROR: the dashboard refused the agent token (401) (il server è stato rimosso o il suo token revocato: reinstalla con un nuovo token e --force-register) oppure the dashboard says this organization is SUSPENDED (403). Vedi Quando la dashboard non è raggiungibile.

L'agente invia un heartbeat ogni 60 secondi, quindi un server torna visibile entro un minuto da quando la causa è risolta.

Errori di installazione e registrazione

Messaggio Cosa fare
Install token is required Aggiungi --token <TOKEN>. Solo un server già registrato, o un dry run (--dry-run), può eseguire l'installer senza.
This script must be run as root Eseguilo con sudo.
Unsupported architecture Sono supportati solo x86-64 e ARM64.
No supported init system found Il server deve avere systemd, upstart o sysvinit. Altrimenti usa Docker.
No package manager found (apt-get, yum, dnf) Installa a mano curl, iptables e ca-certificates, poi esegui di nuovo l'installer.
Another package operation is running — waiting for it to finish... L'installer attende fino a 5 minuti che apt, dnf o yum finiscano. Se rinuncia, completa quell'operazione ed eseguilo di nuovo.
Dependency installation failed Il riquadro mostra il comando da eseguire a mano (per esempio apt-get update --fix-missing && apt-get install -y ca-certificates curl iptables).
Download failed Il server non raggiunge GitHub. L'agente si scarica solo da github.com e release-assets.githubusercontent.com: devono essere raggiungibili entrambi in HTTPS. Controlla il firewall, l'eventuale proxy e i certificati CA (ca-certificates).
Could not download the checksum from … Il checksum della release è obbligatorio, quindi non è stato installato nulla. Fai gli stessi controlli di Download failed, poi esegui di nuovo l'installer. --skip-checksum installa senza verificare il binario: non è sicuro, usalo solo se sai perché il checksum non si può scaricare.
Checksum mismatch: the downloaded agent is not the published release and was not installed. Il download è stato alterato o troncato, spesso da un proxy. Non è stato installato nulla. Esegui di nuovo l'installer.
The Let's Encrypt root CA in this script does not match its fingerprint; not using it. L'installer stesso si è danneggiato durante il download. Scaricalo di nuovo.
Registration failed Il riquadro elenca le cause abituali: Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan.

Il token è scaduto

I token di installazione sono monouso e valgono un'ora. Generane uno nuovo in Server › Aggiungi server ed esegui di nuovo il comando. Su Starter, un token non usato e non scaduto conta nel limite di un server finché non scade o non lo revochi in Impostazioni › Token di installazione.

Nessun attacco web rilevato

Se il log dice [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override), l'agente non ha trovato i tuoi access log. Indicaglieli:

bash
sudo systemctl edit infrafence-agent
ini
[Service]
Environment=WEB_LOG_PATH=/path/to/access.log,/path/to/other.log
bash
sudo systemctl restart infrafence-agent

Nessun attacco SSH rilevato

Il log dell'agente indica la fonte che legge: reading authentication messages from …. Con systemd usa il journal. Se il tuo demone SSH scrive su un file insolito, imposta AUTH_LOG_PATH nello stesso modo di WEB_LOG_PATH.

Conflitti con il firewall

L'agente controlla le sue catene ogni minuto, e ogni 5 secondi se il suo jump in INPUT è ancora al suo posto, quindi quando un altro strumento le rimuove (csf -r, un reload di ufw o firewalld) le ripristina in pochi secondi ([firewall] guard: restored …; entro un minuto prima dell'agente 1.0.33). Mentre CSF ricostruisce il firewall aspetta che finisca, al massimo 2 minuti. Se i ripristini arrivano uno dopo l'altro, o tre o più volte in un'ora, segnala firewall_conflict: un altro strumento continua a riscrivere il firewall (ufw, firewalld, CSF, netfilter-persistent o un'esecuzione di configuration management). I ban continuano a funzionare; trova lo strumento che ricarica il firewall così spesso. Vedi Coesistenza.

Per vedere le regole dell'agente:

bash
sudo iptables -L INFRAFENCE -n --line-numbers
sudo ipset list infrafence-bans | head

Manca ipset

[firewall] ipset not found — falling back to iptables (limited capacity): i ban funzionano comunque, fino a 500. Il blocco per paese e il blocco delle liste di minacce in quel caso si limitano a rilevare. Installa ipset con il tuo gestore di pacchetti e riavvia l'agente.

Il blocco per paese non fa nulla

not blocked yet: geoip database not loaded nel log (geoblocking disabled prima dell'agente 1.0.33) significa che il server non ha ancora il database dei paesi, e country database not updated dice perché il download non è riuscito: vedi Blocco per paese. country blocks NOT applied at kernel level significa che manca ipset.

È stato bannato un indirizzo legittimo

Nella scheda Rete del server, Sblocca ora, poi Aggiungi alla whitelist perché non succeda più. Per i falsi positivi web, disattiva il pattern o cambia la modalità del tipo di attacco in Web firewall.

Problemi di aggiornamento

[updater] v<version> available — automatic updates are not turned on (notify only) è normale con Solo notifica: usa Installa adesso o il comando manuale. [updater] signature check FAILED significa che il download non ha superato la verifica: non è stato installato nulla. Vedi Aggiornare l'agente.

Non ricevo l'email di conferma o di reset

L'email arriva di solito entro un minuto. Se non arriva:

  • Guarda nella cartella spam o posta indesiderata, e in schede come Promozioni o Aggiornamenti. Un filtro della posta aziendale può tenerla in quarantena: chiedi al reparto IT di accettare le email di InfraFence.
  • Controlla che l'indirizzo sia scritto bene. Dopo Password dimenticata? la pagina dice che il link è stato inviato se a questo indirizzo corrisponde un account: per la tua sicurezza il testo è lo stesso che l'account esista o no, quindi un indirizzo sbagliato, o senza account, non riceve niente. Prova con l'indirizzo con cui ti sei registrato.
  • Non siamo riusciti a inviare l'email a questo indirizzo. Controlla che sia corretto o riprova tra qualche minuto. vuol dire che l'email non è partita: l'indirizzo è stato rifiutato o l'invio non è riuscito per un momento. Controlla l'indirizzo e riprova dopo qualche minuto.
  • Questo indirizzo non può ricevere email (alla registrazione): il server di posta dell'indirizzo lo ha rifiutato, oppure il suo dominio non ha un server di posta. Usa un altro indirizzo.
  • Chiedi una nuova email al massimo una volta al minuto: una richiesta troppo ravvicinata viene rifiutata. Ogni nuovo link sostituisce il precedente, quindi usa l'email più recente.

Ancora niente? Scrivici dalla pagina contatti indicando l'indirizzo che hai usato.

Le email di InfraFence non arrivano a un indirizzo

La dashboard mostra Non riusciamo a consegnare le email a … quando il server di posta di quell'indirizzo ha rifiutato le email di InfraFence in modo definitivo: la casella non esiste, o il dominio non ha un server di posta (nessun record MX). Il riepilogo settimanale, il report mensile, gli avvisi sulla protezione e sulla prova gratuita e i canali di avviso email saltano allora l'indirizzo per 7 giorni, poi lo riprovano.

  • Se è il tuo indirizzo: controlla che la casella esista e che il dominio riceva email (il suo record MX). Per usare un altro indirizzo, cambialo in Impostazioni › Account (Cambiare l'indirizzo email): l'indirizzo attuale non può ricevere il suo link di conferma, quindi apri quello inviato al nuovo indirizzo e scrivi a info@infrafence.com, e completiamo noi il cambio.
  • Se è l'indirizzo di un altro owner o admin: avvisalo in un altro modo.
  • Un canale di avviso email con quell'indirizzo mostra recipient_rejected. Invia prova lo riprova subito.

I problemi temporanei (un server di posta occupato o irraggiungibile) non vengono ricordati: l'email viene riprovata al passaggio successivo.