Fehlerbehebung am Client
Symptome, die wahrscheinliche Ursache und der Befehl, der sie unterscheidet.
Beginnen Sie jedes Mal mit sxaccess info -d. Der Befehl beantwortet die ersten Fragen - läuft der Agent, erreicht dieses Gerät die SXAccess-Dienste, und was weiß es über jedes Gerät, mit dem es sich verbinden darf - und die meisten Fehler lassen sich allein anhand dieser Ausgabe einordnen. Läuft der Agent nicht, sagt der Befehl genau das, statt etwas anderes auszugeben.
Die Detailansicht lesen
Die erste Zeile ist die Antwort. Darunter folgen die Teile, aus denen sie sich ergibt, dann eine Liste Devices: mit einem Block für jedes Gerät, mit dem eine Zugriffsregel dieses Gerät verbindet, und zuletzt die jüngsten Ereignisse des Agenten.
| Zeile | Bedeutung |
|---|---|
Connected, Partly connected, Not connected | Ob dieses Gerät sowohl den Management-Dienst als auch Discovery erreicht. Partly connected heißt: Einer der beiden antwortet, der andere nicht, und die Zeile des nicht antwortenden Dienstes nennt den Grund |
This device, Address | Der DNS-Name des Geräts und seine Overlay-Adresse |
Devices, Networks | Wie viele der Geräte, mit denen sich dieses verbinden darf, gerade verbunden sind, etwa 3 of 5 connected, und welche gerouteten Netze es nutzt |
Service, Discovery | Connected to mit dem Endpunkt oder Disconnected mit dem Grund in Klammern. Service ist der Management-Dienst unter mgmt.sxaccess.com |
Relays | Jeder STUN-, TURN- und Relay-Endpunkt, den der Management-Dienst diesem Gerät mitgeteilt hat, jeweils mit Reachable oder Not reachable |
DNS servers | Jeder DNS-Server, der für dieses Gerät gilt, die Domains, für die er antwortet, und ob er erreichbar ist |
Interface | Kernel oder Userspace: wo der Tunnel läuft. Nur der Agent unter Linux kann den Kernel nutzen |
Identity, Quantum res., Lazy conn. | Die verwendete Identität und ob Quantenresistenz und Verbindungen bei Bedarf eingeschaltet sind |
Agent, CLI | Die Version des laufenden Agenten und des Befehls sxaccess. Nennen Sie beide, wenn Sie sich an den Support wenden |
Path, je Gerät | P2P für einen direkten Pfad, Relayed für einen über ein Relay |
Candidates, Round trip, Last handshake, Transferred, Reaches, je Gerät | Die Art der Adresse, die jede Seite nutzt, die Latenz, wann der Tunnel zuletzt einen Handshake abgeschlossen hat, die empfangenen und gesendeten Bytes und die gerouteten Netze, die über dieses Gerät erreichbar sind |
Symptom und Ursache
| Symptom | Wahrscheinliche Ursache | Vorgehen |
|---|---|---|
info meldet cannot reach the SXAccess agent | Der Agent-Dienst ist gestoppt oder wurde nie installiert | sxaccess agent info gibt Agent service: Running oder Stopped aus. Starten Sie ihn mit sudo sxaccess agent start und stellen Sie dann mit sxaccess start die Verbindung her. Wurde er nie installiert, führen Sie zuerst sudo sxaccess agent install aus |
info meldet This device is not signed in, oder das Gerät funktionierte einen Tag lang und dann nicht mehr | Seine Sitzung ist abgelaufen. Nur Geräte, die per Anmeldung registriert wurden, haben eine Sitzung, standardmäßig 24 Stunden; Geräte, die mit einem Registrierungsschlüssel registriert wurden, laufen nie ab. Ein gelöschtes Gerät oder eines, das zu einem gesperrten Mitglied gehört, erhält dieselbe Meldung | sxaccess start meldet es erneut an; einen Server registrieren Sie erneut mit einem Registrierungsschlüssel. Die Dauer legen Sie unter Settings → Security → Session length fest, siehe Organisationseinstellungen |
info meldet This device's organization is suspended … | Der Zugriff ist für die gesamte Organisation ausgesetzt, nicht für dieses Gerät | Am Gerät ist nichts zu tun: Der Agent versucht es etwa alle 5 Minuten erneut und verbindet sich von selbst wieder, sobald die Organisation wieder aktiv ist, ohne neue Anmeldung. Wenden Sie sich an die Administration Ihrer Organisation; mehr unter Organisationen |
info meldet Connected, aber ein erwartetes Gerät fehlt in der Liste | Keine aktive Zugriffsregel verbindet die beiden Geräte, gleich in welcher Richtung, oder eine Geräteanforderung der Regel schließt das Quellgerät aus. Ein Gerät, das die Geräteanforderungen einer Regel nicht erfüllt, fällt ohne Meldung aus dieser Regel heraus | Prüfen Sie die Gruppen beider Geräte und die Zugriffsregeln, dann die Geräteanforderungen der Regel |
| Ein Gerät wird aufgeführt, ist aber nicht erreichbar | Eine Regel verbindet die Geräte, aber nicht für das verwendete Protokoll oder den verwendeten Port, oder auf dem Port lauscht nichts | Verfolgen Sie die Verbindung auf dem Gerät, das Sie erreichen wollen. Nachvollziehen, warum eine Verbindung blockiert wird zeigt, welche Stufe sie verwirft |
Jedes Gerät zeigt Path: Relayed | Ausgehendes UDP ist blockiert, oder beide Seiten befinden sich hinter strengem NAT | Siehe NAT und Konnektivität und Eingeschränkte Netze. Der Block Relays von sxaccess info -d zeigt, welche STUN- und TURN-Endpunkte dieses Gerät erreicht |
| Gerät aus dem Dashboard verschwunden | Es wurde mit einem Schlüssel registriert, bei dem Temporary devices eingeschaltet ist, und war länger als 10 Minuten offline | Registrieren Sie es erneut. Für eine langlebige Maschine verwenden Sie einen Schlüssel ohne Temporary devices; siehe Registrierungsschlüssel |
| Interne Namen werden nicht aufgelöst | Für diese Domain gilt auf diesem Gerät kein DNS-Server, die DNS-Verwaltung ist für das Gerät abgeschaltet, oder ein anderer Resolver auf der Maschine antwortet zuerst | Prüfen Sie den Block DNS servers von sxaccess info -d; mehr unter DNS. Unter Linux prüfen Sie, was /etc/resolv.conf verwaltet |
| Ein geroutetes Netz ist nicht erreichbar | Das Netz ist für dieses Gerät veröffentlicht, aber auf ihm nicht ausgewählt | sxaccess reach list zeigt jedes Netz mit state: Selected oder Not Selected. sxaccess reach add -a <Name> fügt eines hinzu, wobei Sie den Namen angeben, den reach list zeigt; ohne -a ersetzt add die bisherige Auswahl. Fehlt ein Netz in der Liste, ist es für dieses Gerät nicht veröffentlicht: Prüfen Sie die Zugriffsregel, die die Ressource nennt, oder die Gruppen unter Applies to der Route |
| Nach einem Absturz oder Stromausfall verweisen DNS oder Routen weiterhin auf SXAccess, obwohl die Verbindung getrennt ist | Der Agent kam nicht mehr dazu, seine Änderungen rückgängig zu machen | sxaccess stop, dann sxaccess store reset --all. Siehe Gespeicherter Zustand |
| Der Tunnel steht, aber es fließt kein Verkehr | Ein anderes VPN oder der Netzwerkfilter eines Sicherheitsprodukts verarbeitet den Verkehr zuerst | Schalten Sie das andere Produkt ab und testen Sie erneut |
Die Logs lesen
Der Agent schreibt sein Log unter Linux und macOS nach /var/log/sxaccess/client.log. Die Datei gehört root, lesen Sie sie also mit sudo. Auf der Standardstufe info protokolliert er Registrierung, Kartenaktualisierungen und Verbindungsänderungen. Auf debug kommen das Sammeln der ICE-Kandidaten und jeder Verbindungsversuch hinzu - dort steht in der Regel die Antwort; trace ist noch ausführlicher. sxaccess diagnose verbosity ändert die Stufe bis zum nächsten Neustart des Agenten.
sxaccess diagnose verbosity debugsudo tail -f /var/log/sxaccess/client.logMit Strg+C beenden Sie das Mitlesen. Zurück zur Normalstufe geht es mit dem Befehl unten; ein Neustart des Agenten bewirkt dasselbe.
sxaccess diagnose verbosity infoEin Bündel erzeugen
Bei allem, was Sie nicht selbst lösen können, senden Sie ein Diagnosebündel. sxaccess diagnose collect packt die Logs des Agenten, die Detailansicht, seine Einstellungen, die zuletzt empfangene Netzwerkbeschreibung sowie Routen, Schnittstellen und, unter Linux, Firewall-Regeln des Systems in ein Archiv. -S=false lässt die Systeminformationen weg, und -C legt fest, wie viele ältere Logdateien hineinkommen (standardmäßig eine).
sxaccess diagnose collectBei einem nur gelegentlich auftretenden Fehler ist sxaccess diagnose capture 5m das richtige Werkzeug. Der Befehl stellt den Agenten auf trace-Logging um, trennt das Gerät und verbindet es neu, damit das Log mit einer frischen Verbindung beginnt, wartet die angegebene Zeit, erstellt das Archiv und stellt die Stufe zurück. Weil er neu verbindet, brechen Sitzungen über SXAccess ab, etwa SSH. Ein getrenntes Gerät wird für die Aufzeichnung verbunden und danach wieder getrennt.
sxaccess diagnose capture 5mBeide geben Bundle saved to: und den Pfad einer Datei sxaccess-support-*.zip im temporären Verzeichnis des Agenten aus. Mit -A ersetzt jeder der beiden Befehle vorher öffentliche Adressen und fremde Domains, etwa sxaccess diagnose collect -A. Nur root kann das Archiv lesen. Kopieren Sie es deshalb an einen Ort, an dem Sie es lesen können, bevor Sie es anhängen, und setzen Sie dabei seinen Pfad für <path> ein:
sudo cp <path> ~/ && sudo chown "$USER" ~/sxaccess-support-*.zipSauber neu beginnen
Ist der lokale Zustand einer Maschine zweifelhaft, setzen Sie sie vollständig zurück. Die Befehle unten funktionieren unter Linux und macOS; es sind dieselben Schritte wie unter Den Agenten zurücksetzen. Die Maschine erscheint danach als neues Gerät und erhält möglicherweise eine andere Overlay-Adresse; passen Sie alles an, was auf die alte verwies.
Trennen Sie zuerst die Verbindung, machen Sie die vom Agenten aufgezeichneten DNS- und Routenänderungen rückgängig und stoppen Sie den Agenten:
sxaccess stopsxaccess store reset --allsudo sxaccess agent stopLöschen Sie jetzt das Gerät im Dashboard unter Devices. Das widerruft seinen Schlüssel und gibt den DNS-Namen der Maschine frei: Solange der alte Eintrag besteht, erhält ein neues Gerät diesen Namen mit zwei angehängten Zahlen.
Löschen Sie dann den Zustand des Agenten, den dieser beim Start neu anlegt, und Ihren eigenen Ordner, in dem verzeichnet ist, welche Identität die CLI verwendet: ~/.config/sxaccess unter Linux, ~/Library/Application Support/sxaccess unter macOS. Starten Sie den Agenten und registrieren Sie die Maschine erneut. Auf einem Server lautet der letzte Befehl stattdessen sxaccess start --enrollment-key-file <datei>.
rm -rf ~/.config/sxaccess "$HOME/Library/Application Support/sxaccess"sudo rm -rf /var/lib/sxaccess && sudo sxaccess agent start && sxaccess start