McAfee Agent 5.x の、エージェント/サーバー間通信のトラブルシューティング

技術的な記事 ID: KB90603
最終更新: 2021/01/27

環境

McAfee Agent (MA) 5.x

概要

この記事では、McAfee Agent と ePolicy Orchestrator (ePO) 間の、バックグラウンドで行われている通信について説明します。また、通信エラーの診断に役立つトラブルシューティングの手順についても説明します。エージェントとサーバー間の通信は、ASCI (Agent-Server Communication) とも表わされます。

ASCI ワークフローの概要:
このセクションでは、正常な ASCI セッションについて、またエンドポイントにある masvc_.log と McAfee ePO サーバーにある .log のログファイルの例について概説しています。今回のログファイルの例では、クライアントの名前は MAClient に、またMcAfee ePO サーバの名前は EPOServer に設定されています。

MA は、エンドポイントにインストールされているすべての製品のプロパティを収集して、ASCI セッションを開始します。今回の例では、エンドポイントには MA のみがインストールされています。
エンドポイントの masvc_MAClient.log の例:

masvc(1228.1240) property.Info: Collecting Properties
masvc(1228.1240) publisher.Info: message will be sent after <0> seconds.
masvc(1228.1240) property.Info: Property collection session initiated for PropsVersion with session id 5696.
masvc(1228.1240) property.Info: Properties received from EPOAGENT3000 provider
masvc(1228.1240) property.Info: Properties received from SYSPROPS1000 provider
masvc(1228.1240) property.Info: Finished Collecting Properties

次に、MA は Property Version (PropsVersion) を生成します。ePO はこれを用いて、クライアントが完全なプロパティパッケージを送る必要があるか、また MA によって送られてきた増分パッケージが適当なものかどうかを判断します。
masvc_MAClient.log on the endpoint shows:

masvc(1228.1240) property.Info: Agent started performing ASCI
masvc(1228.1240) ahclient.Info: Scheduling spipe connection with "immediate" priority.
masvc(1228.1240) ahclient.Info: Start processing spipe connection request.
masvc(1228.1240) property.Info: Agent is sending PROPS VERSION package to McAfee ePO server
masvc(1228.1240) DataChannel.Manager.Info: DataChannel Service ignoring decoration of SPIPE package for: { PropsVersion }

MA は利用可能な Agent Handlers (AH) の一覧が記載されている MA.DB ファイルからデータを入手し、最もプライオリティの高い AH に接続を試みます。
masvc_MAClient.log on the endpoint shows:

masvc(1228.1240) ahclient.Info: Agent communication session started
masvc(1228.1240) ahclient.Info: Agent is connecting to ePO Server
masvc(1228.1240) ahclient.Info: Initiating spipe connection to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(1228.1240) crypto.Info: Negotiated Cipher : EDH-RSA-AES256-SHA256
masvc(1228.1240) ahclient.Info: connection initiated to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(1228.1240) ahclient.Info: Network library rc = <1008>, Agent Handler reports response code <202>.
masvc(1228.1240) ahclient.Info: Agent Handler doesn't have anything to send. Response code 202.
masvc(1228.1240) ahclient.Info: Spipe connection response received, network return code = 1008, response code 202.
masvc(1228.1240) property.Info: Package uploaded to ePO Server successfully
masvc(1228.1240) xml_generator.Info: ma_property_xml_generator_save_props_to_datastore
masvc(1228.1240) property.Info: Published property collect and send status message
masvc(1228.1240) ahclient.Info: Agent communication session closed

エージェントハンドラはPropsVersion を受信し、またそれが適当なものであれば、クライアントにHTTP 202 Accepted レスポンスを返します。もしくは、クライアントが完全プロパティーパッケージを送るよう要求するかもしれません。
例えば、コンピューターが ePO のシステムツリーから削除された場合は、プロパティがないので MA に完全プロパティパッケージを送るよう要求するでしょう。
エージェントハンドラ上の Server_EPOServer.log に、サーバが増分プロパティを受け入れたことが記載されます:

I #04412 NAIMSERV Received [PropsVersion] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB}
I #04412 NAIMSERV Using attached Props.xml props from node MACLIENT
I #04412 NAIMSERV Processing agent props for MACLIENT(AB7E05EC-51EA-11E7-3E72-005056011DFB)
I #04412 EPODAL System attribute change - Old value: 20180517180553 to New value: 20180517181443
I #04412 NAIMSERV Sending props response for agent MACLIENT, agent has up-to-date policy
I #04412 NAIMSERV Processed [PropsVersion] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB} in 31ms
I #04412 MOD_EPO epo request processed, rc=202, session ID=9, session time=31m

MA は次にPolicy Manifest Request を作成し、 Agent Handler に送ります。ポリシーマニフェストは、エージェントが最新のポリシーを持っているか、製品に新しいポリシーパッケージが必要かを判断するために AH によって使用されます。
エンドポイントの masvc_MAClient.log の例:

masvc(1228.1240) io.service.Info: Next collect and send properties in 51 minutes and 10 seconds.
masvc(1228.1240) ahclient.Info: Scheduling spipe connection with "immediate" priority.
masvc(1228.1240) ahclient.Info: Start processing spipe connection request.
masvc(1228.1240) DataChannel.Manager.Info: DataChannel Service ignoring decoration of SPIPE package for : { PolicyManifestRequest }
masvc(1228.1240) ahclient.Info: Agent communication session started
masvc(1228.1240) ahclient.Info: Agent is connecting to ePO Server
masvc(1228.1240) ahclient.Info: Initiating spipe connection to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.

McAfee Agent は ePO へ転送待ちとなっている全てのイベントを送信します。次の例のログでは、転送待ちとなっているイベントがなかったことを表しています。
エンドポイントの masvc_MAClient.log の例:

masvc(1228.1240) event.Info: Agent is looking for events to upload
masvc(1228.1240) event.Info: Agent did not find any events to upload

Agent Handler は Policy Manifest Request を確認し、MA にレスポンスを返します。

ハンドラの Server_EPOServer.log の例:

I #04412 NAIMSERV Received [PolicyManifestRequest] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB}

I #04412 NAIMSERV Processed [PolicyManifestRequest] from MACLIENT:{AB7E05EC-51EA-11E7-3E72-005056011DFB} in 31ms

I #04412 NAIMSERV Signing agent response package with key Z0IONRUNRak+x0h273mXbWi4OFxCjysQyUhdunCsBbM=

I #04412 MOD_EPO epo request processed, rc=0, session ID=10, session time=47ms

McAfee Agent は新しいポリシーパッケージの形式で Policy Manifest Request のレスポンスを受信し、ASCI セッションを終了します。
masvc_MAClient.log on the endpoint shows:

masvc(1228.1240) ahclient.Info: connection initiated to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(1228.1240) ahclient.Info: Network library rc = <1008>, Agent Handler reports response code <200>.
masvc(1228.1240) ahclient.Info: Agent Handler reports spipe package received. Response code 200.
masvc(1228.1240) ahclient.Info: Spipe connection response received, network return code = 1008, response code 200.
masvc(1228.1240) policy.Info: Agent received POLICY package from ePO Server
masvc(1228.1240) ahclient.Info: Agent communication session closed

masvc_.log から ASCI セッションの失敗の原因を特定する:

ASCI セッションが失敗した場合の、問題を解決する最初のステップは、クライアントのログファイルからエラー内容を特定することです。クライアントで調査する必要があるログファイルの名前は、masvc_.log です。このログファイルのデフォルトの場所は C:\ProgramData\McAfee\Agent\Logs です。

以下のアプローチでエラーの内容を特定します::

ASCI が失敗するクライアントで masvc_.log ファイルを開いてください。
ログファイルの一番下に移動します。
Agent is connecting to ePO Server という記述を検索してください。
ここから下にスクロールして、MA がハンドラに接続しようとしているログのエントリを探します。上で説明されているような内容が記載されているはずです。そのセクションへ移動するには、ここをクリックしてください。

以下のセクションでは、よくある問題とエラーの例を記載します。エラー内容を特定できた場合、以下の解決策のセクションを参照してトラブルシューティングを行うことができます。

各々の解決策のセクションでは、ASCI セッションが失敗するときのエラーの内容と、その主な原因と解決方法に関して詳しく説明されています。

MA は Agent Handler との接続を確立するために libcurl ライブラリを使用しているので、ASCI セッション失敗のログエントリの多くには curl のエラーコードも付随します。
CURL のエラーコードの完全な一覧は、 https://curl.haxx.se/libcurl/c/libcurl-errors.htmlを参照してください。

解決策

問題 - MA が AH との接続に失敗し、ログに curl のエラーコード 7 (Failed to connect) が記載される。

症状 - masvc_MAClient.log からエージェントが ePO サーバと接続を確立できていないこと、curl のエラーコード 7 が記載されていることが読み取れます:

masvc(5308.2396) ahclient.Info: Agent communication session started
masvc(5308.2396) ahclient.Info: Agent is connecting to ePO server
masvc(5308.2396) ahclient.Info: Initiating spipe connection to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(5308.2396) ahclient.Info: connection initiated to site https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4.
masvc(5308.2396) network.Notice: URL(https://192.168.1.1:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0&TenantId=E46AF86C-AA4A-4243-B4D5-5BA313376CC4) request failed with curl error <7>, response code <0>, http connect code 0
masvc(5308.2396) ahclient.Info: Network library rc = <1007>, Agent Handler reports response code <0>.

主な原因と解決方法:

原因 1	McAfee ePolicy Orchestrator サーバーサービス (Apache) が開始していない。
確認方法 1	Agent Handler で Services.msc を開き、サービスが開始しているかどうかを確認して下さい。
解決方法 1	サービスが停止している場合は、サービスを開始してください。

原因 2	MA で設定されている AH の IP アドレスが誤っている。
確認方法 2	Agent Handler 上のコマンドプロンプトから、IPConfig コマンドを実行し、MA で指定されている IP アドレスと一致するかどうか確認してください。注: 上記の例では、MA は 192.168.1.1 を使用しています。
解決方法 2	IP アドレスが一致していない場合は、一致させてください。

原因 3	MA で設定されている AH のポート番号が誤っている。
確認方法 3	ハンドラ上でコマンドプロンプトを管理者として実行し、以下のコマンドを入力してください: Netstat -anb > netstat.txt 次に、Apache.exe が正しいポートでリッスンしているかどうか確認してください。注: 上記の例では、ポート番号は 443 番を使用しています。
解決方法 3	以下の場合にのみ、McAfee Agent の再インストールを行います: クライアントが少数の場合、またはすべてまたは多くのクライアントが影響を受ける場合 AH がリッスンするポートの番号を変更することでクライアントが指定するポート番号と一致させる場合には、KB72936を参照してください。 Apache.exe がどのポート番号でもリッスンしていない場合には、サービスが開始しているかどうかを確認してください。

原因 4	ファイアウォールによって通信がブロックされており、MA と AH の間に有効な経路がない。
確認方法 4	IP アドレスとポート番号が正しく、AH が正しいポートでリッスンしていることが確認できる場合は、以下のように telnet コマンドを実行して通信が確立できるかどうかを確認してください。IP アドレスとポート番号はお客様の環境に合わせて適宜変更する必要があります: telnet 192.168.1.1 443
解決方法 4	クライアントと AH の間に経路が存在し、ファイアウォールやプロキシがその通信を遮断していないことを確認してください。

解決策

問題 - MA が AH との接続に失敗し、ログに curl のエラーコード 6 (Could not resolve host. The given remote host was not resolved.) が記載される。

症状:

更新の失敗

I #12872 network URL(https://eposerver.domain.local:443/Software/SiteStat.xml?hash={ab7e05ec-51ea-11e7-3e72-005056011dfb}) request, failed with curl error 6, Response 0, Connect code 0,

[73125] (2800947648) [network] [I] URL(http://ePOSserver.domain.local:18102/Software/SiteStat.xml) request submitting

[73125] (2800947648) [network] [D] text 48 Could not resolve host: ePOServer.domain.local

[73125] (2800947648) [network] [D] text 21 Closing connection 0

[73125] (2800947648) [network] [I] URL(http://eposerver.domain.local:18102/Software/SiteStat.xml) request, failed with curl error 6, Response 0, Connect code 0, Update failures:

通信の失敗:

masvc(7056.3188) network.Error: URL(https://eposerver.domain.local:443/spipe/pkg?AgentGuid={ab7e05ec-51ea-11e7-3e72-005056011dfb}&Source=Agent_3.0.0) request, failed with curl error 6, Response

主な原因と解決方法:

Cause 1	Winsock loading dll が mcscript、もしくは他の dll に埋め込まれている。
確認方法 1	MFEMACTL ログでは以下のようなエラーが表示されます: mfemactl.Info: The process (6488) was blocked from accessing('CREATE' (1)) NSLSP.DLL> via the rule
解決方法 1	mfesysprep ツールを実行するか、問題となっている dll を信頼してください。詳細に関しては、KB88085 を参照してください。

原因 2	内部 DNS サーバーにアクセスできないか、名前を解決できない。
確認方法 2	ネットワークに問題があるか、もしくは内部の DNS サーバーが機能しておらず、nslookup コマンドでホスト名を解決できないか ping が通っていません。
解決方法 2	内部の DNS サーバーとネットワークの問題を解決する必要があります。

原因 3	クライアントで ipv6 の通信のみが有効になっているが、ePO とリポジトリは通信に ipv4 を使用している。
確認方法 3	クライアントのネットワークインターフェースカードのプロパティで IPV6 のみが有効になっている。また、リポジトリは IPV4 を使用するように設定されている。
解決方法 3	以下のいずれかを実行してください: クライアントで IPV4 を有効にするもしくはリポジトリで IPV6 を有効にします。

原因 4	プロキシ、またはファイアウォールが証明書を傍受し、ePOサーバーに代わって自身の証明書で応答してしまう。
確認方法 4	Wireshark を使用すると、処理できない証明書要求を MA が作成していることを確認できます。
解決方法 4	プロキシまたはファイアウォールに ePO 証明書をアップロードします。詳細に関しては、KB87820 を参照してください。独自の証明書で応答するファイアウォールまたはプロキシサーバーにも適用されます。

原因 5	クライアントで DNS の設定が正しくありません。
確認方法 5	Ipconfig コマンドを実行すると、内部の DNS サーバーではなく、Google の 8.8.8.8 など外部の DNS サーバーが表示されます。
解決方法 5	クライアントで正しい DNS サーバーを設定します。

解決策

問題 - MA が AH との接続に失敗し、ログに HTTP 503 ステータスコードもしくは "server is busy" などと記載される。

HTTP 503 Service Unavailable は、サーバー側に問題があることを示唆しています。エージェントの通信がハンドラ、もしくは通信経路上にある他のデバイスに到達し、そして拒否されています。

McAfee Agent は、サーバがクライアントを拒絶するこの現象を HTTP 503 ステータスコード、もしくは "server is busy"、"max connections" などといった文言でレポートします。しかし、エラーの原因が必ずしもこの文言通りであるとは限りません:

症状 - masvc_MAClient.log の例:

masvc(4392.624) ahclient.Info: Network library rc = <1008>, Agent Handler reports response code <503>.
masvc(4392.624) ahclient.Info: Agent Handler reports server busy. Response code 503.

主な原因と解決方法:

原因 1	McAfee ePolicy Orchestrator サーバーサービス (Apache.exe) が最大接続数の上限に達しました。
確認方法 1	ePO に内蔵されているパフォーマンスカウンター (KB77680) を使用して、接続数と処理中の数を調査してください。明らかに “max connections” を超える、接続リクエストが届いていることが分かる Server_servername.log の例: E #06504 MOD_EPO mod_epo.cpp(330): Server is too busy (245 connections) to process request
解決方法 1	解決方法を導入する前に、"max connections" などと表示される原因を考える必要があります。通常、2 つの理由があります: 処理しきれないほど多くのリクエストが来る場合。エージェントハンドラは多い時でも 10+ 程の、正常な数のリクエストを処理できます。この場合、ファイルのリクエスト数を減らす、ASCI のインターバルを縮小する、Agent Handler を追加するなどといった、設定の変更で解決できます。エージェントハンドラが、接続を適時に処理していない場合。パフォーマンスカウンタで、一秒あたりに完了したエージェントリクエストが平均 3 以下などと、少ないことがわかる場合はこちらのケースです。

原因 2	Apache.exe が、受信したクライアントのプロパティを処理できない。
確認方法 2	Server_servername.log を確認します。通信のハンドシェイクが、トラブルシューティング中のシステムと一致していることを確認してください。プロパティの処理に失敗していることに起因するエラーの例: E #11780 NAIMSERV servdal.cpp(1911): Failed to load props.xml file E #11780 NAIMSERV servdal.cpp(2155): Modify agent props failed! E #11780 NAIMSERV AgentServerCommHandler.cpp(691): Failed to process agent request
解決方法 2	破損したプロパティに対する高度なトラブルシューティングの方法については、KB88041 を参照してください。通信の処理段階でどのプロパティが問題を引き起こしているかを特定するために、ログレベル 8 (DEBUG) で server_servername.log を取る必要があります。 ePO でログレベルを 8 に変更する方法に関しては、KB56207 を参照してください。

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

McAfee Agent 5.7.x
McAfee Agent 5.6.x
Troubleshooting

言語:

この記事は、次の言語で表示可能です:

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

McAfee Agent 5.x の、エージェント/サーバー間通信のトラブルシューティング

環境

概要

解決策

解決策

解決策

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

McAfee Agent 5.x の、エージェント/サーバー間通信のトラブルシューティング

環境

概要

解決策

解決策

解決策

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title