InfraFenceInfraFence

Live Security Operations

Começar

Solução de problemas

Resolva os problemas comuns do InfraFence (servidor sem resposta, erros de instalação e registro, tokens expirados, logs ausentes, conflitos de firewall, ipset e bloqueio por país) com as mensagens reais a procurar.

Última atualização:

Leia o log do agente

bash
journalctl -u infrafence-agent -f
journalctl -u infrafence-agent -n 50 --no-pager

Com upstart ou sysvinit, o agente grava no syslog: tail -f /var/log/syslog | grep infrafence-agent. As linhas são marcadas por componente: [firewall], [webwatcher], [api], [updater], [protection] e assim por diante.

A verificação somente leitura costuma ser o diagnóstico mais rápido:

bash
sudo infrafence-agent preflight

O servidor aparece como "Sem resposta"

  1. O serviço está rodando? systemctl status infrafence-agent. Se não estiver, journalctl -u infrafence-agent -n 50 --no-pager diz o motivo.
  2. O servidor alcança o painel? curl -sI https://infrafence.com a partir do servidor. Uma linha como [main] warning: could not resolve API host aponta para o DNS.
  3. O painel está recusando o agente? Procure [api] ERROR: the dashboard refused the agent token (401) (o servidor foi removido ou o token dele foi revogado: instale de novo com um novo token e --force-register) ou the dashboard says this organization is SUSPENDED (403). Veja Quando o painel está inacessível.

O agente envia um heartbeat a cada 60 segundos, então um servidor volta em menos de um minuto depois que a causa é corrigida.

Erros de instalação e registro

Mensagem O que fazer
Install token is required Adicione --token <TOKEN>. Só um servidor já registrado, ou um dry run (--dry-run), pode executar o instalador sem ele.
This script must be run as root Execute-o com sudo.
Unsupported architecture Só x86-64 e ARM64 são suportados.
No supported init system found O servidor precisa de systemd, upstart ou sysvinit. Caso contrário, use o Docker.
No package manager found (apt-get, yum, dnf) Instale curl, iptables e ca-certificates à mão e execute o instalador de novo.
Another package operation is running — waiting for it to finish... O instalador espera até 5 minutos que o apt, o dnf ou o yum terminem. Se ele desistir, conclua essa operação e execute-o de novo.
Dependency installation failed A caixa mostra o comando para executar à mão (por exemplo apt-get update --fix-missing && apt-get install -y ca-certificates curl iptables).
Download failed O servidor não alcança o GitHub. O agente é baixado só de github.com e release-assets.githubusercontent.com: os dois precisam estar acessíveis por HTTPS. Verifique o firewall, qualquer proxy e os certificados CA (ca-certificates).
Could not download the checksum from … O checksum da release é obrigatório, então nada foi instalado. Faça as mesmas verificações de Download failed e execute o instalador de novo. --skip-checksum instala sem verificar o binário: é inseguro, use só se você souber por que o checksum não pode ser baixado.
Checksum mismatch: the downloaded agent is not the published release and was not installed. O download foi alterado ou truncado, muitas vezes por um proxy. Nada foi instalado. Execute o instalador de novo.
The Let's Encrypt root CA in this script does not match its fingerprint; not using it. O próprio instalador foi danificado no caminho. Baixe-o de novo.
Registration failed A caixa lista as causas habituais: Invalid or expired install token, Server URL is unreachable, Server limit reached for your plan.

O token expirou

Os tokens de instalação são de uso único e valem por uma hora. Gere um novo em Servidores › Adicionar servidor e execute o comando de novo. No Starter, um token não usado e ainda não expirado conta para o limite de um servidor até expirar ou até você revogá-lo em Configurações › Tokens de instalação.

Nenhum ataque web detectado

Se o log disser [webwatcher] no access logs found — web attack detection disabled (set WEB_LOG_PATH to override), o agente não encontrou os seus logs de acesso. Aponte-o para eles:

bash
sudo systemctl edit infrafence-agent
ini
[Service]
Environment=WEB_LOG_PATH=/path/to/access.log,/path/to/other.log
bash
sudo systemctl restart infrafence-agent

Nenhum ataque SSH detectado

O log do agente informa a fonte que ele lê: reading authentication messages from …. Com systemd, ele usa o journal. Se o seu daemon SSH grava em um arquivo incomum, defina AUTH_LOG_PATH do mesmo jeito que WEB_LOG_PATH.

Conflitos de firewall

O agente verifica as chains dele a cada minuto, e a cada 5 segundos se o jump dele em INPUT continua lá, então quando outra ferramenta as remove (csf -r, um reload do ufw ou do firewalld) ele as repõe em segundos ([firewall] guard: restored …; em até um minuto antes do agente 1.0.33). Enquanto o CSF reconstrói o firewall, ele espera o CSF terminar, por no máximo 2 minutos. Se os reparos vierem um atrás do outro, ou três ou mais vezes em uma hora, ele reporta firewall_conflict: outra ferramenta fica reescrevendo o firewall (ufw, firewalld, CSF, netfilter-persistent ou uma execução de gerenciamento de configuração). Os banimentos continuam funcionando; descubra qual ferramenta recarrega o firewall com tanta frequência. Veja Coexistência.

Para ver as regras do agente:

bash
sudo iptables -L INFRAFENCE -n --line-numbers
sudo ipset list infrafence-bans | head

Falta o ipset

[firewall] ipset not found — falling back to iptables (limited capacity): os banimentos continuam funcionando, até 500. O bloqueio por país e o bloqueio das listas de ameaças passam a só detectar. Instale o ipset com o seu gerenciador de pacotes e reinicie o agente.

O bloqueio por país não faz nada

not blocked yet: geoip database not loaded no log (geoblocking disabled antes do agente 1.0.33) significa que o servidor ainda não tem o banco de países, e country database not updated diz por que o download falhou: veja Bloqueio por país. country blocks NOT applied at kernel level significa que falta o ipset.

Um endereço legítimo foi banido

Na aba Rede do servidor, use Desbloquear agora e depois Adicionar à whitelist para que isso não se repita. Para falsos positivos na web, desative o padrão ou altere o modo do tipo de ataque em Web firewall.

Problemas de atualização

[updater] v<version> available — automatic updates are not turned on (notify only) é o esperado com Apenas notificar: use Instalar agora ou o comando manual. [updater] signature check FAILED significa que o download não passou na verificação: nada foi instalado. Veja Atualizar o agente.

Não recebo o e-mail de confirmação ou de redefinição

O e-mail costuma chegar em menos de um minuto. Se não chegar:

  • Procure na pasta de spam ou lixo eletrônico, e em abas como Promoções ou Atualizações. Um filtro de e-mail da empresa pode retê-lo em quarentena: peça à equipe de TI para liberar os e-mails do InfraFence.
  • Confira se o endereço está escrito corretamente. Depois de Esqueceu a senha? a página diz que o link foi enviado se houver uma conta com este endereço: para sua segurança, o texto é o mesmo exista a conta ou não, então um endereço com erro de digitação, ou sem conta, não recebe nada. Tente o endereço com que você se cadastrou.
  • Não conseguimos enviar o e-mail para este endereço. Verifique se está correto ou tente novamente em alguns minutos. significa que o e-mail não saiu: o endereço foi recusado ou o envio falhou por um momento. Confira o endereço e peça de novo alguns minutos depois.
  • Este endereço não pode receber e-mails (no cadastro): o servidor de e-mail do endereço o recusou, ou o domínio não tem servidor de e-mail. Use outro endereço.
  • Peça um novo e-mail no máximo uma vez por minuto: um pedido feito cedo demais é recusado. Cada novo link substitui o anterior, então use o e-mail mais recente.

Ainda nada? Escreva para nós pela página de contato informando o endereço que você usou.

Os e-mails do InfraFence não chegam a um endereço

O dashboard mostra Não conseguimos entregar e-mails para … quando o servidor de e-mail desse endereço recusou de vez os e-mails do InfraFence: a caixa não existe, ou o domínio não tem servidor de e-mail (nenhum registro MX). O resumo semanal, o relatório mensal, os avisos de proteção e de teste grátis e os canais de alerta por e-mail passam então a ignorar o endereço por 7 dias e depois tentam de novo.

  • Se é o seu endereço: confira se a caixa existe e se o domínio recebe e-mails (o registro MX dele). Para usar outro endereço, altere-o em Configurações › Conta (Alterar seu endereço de e-mail): o endereço atual não pode receber o link de confirmação dele, então abra o enviado para o endereço novo e escreva para info@infrafence.com, e concluímos a alteração.
  • Se é o endereço de outro proprietário ou admin: avise-o por outro meio.
  • Um canal de alerta por e-mail com esse endereço mostra recipient_rejected. Enviar teste tenta de novo na hora.

Problemas temporários (um servidor de e-mail ocupado ou fora do ar) não são guardados: o e-mail é tentado de novo na próxima execução.