ePO 5.10和已注册的 syslog 接收器之间存在 TLS 问题时，事件解析器不会发送事件

技术文章 ID: KB92239
上次修改时间: 2022/03/31

环境

McAfee ePolicy Orchestrator (ePO) 5.10 Updates 1–6

问题

ePO 时，您观察到以下各项5.10具有已注册syslog 接收机：

Event Parser 进程eventparser.exe变为无响应。
事件不会被解析，无论是解析到ePO数据库还是转发到syslog接收器。
Restarting the Event Parser process allows temporary parsing to continue, but the issue soon returns.

通常情况下，在syslog接收器为不配置为接受适当的加密连接的环境中，请执行以下操作：

"测试连接" 选项显示错误。
或
它永远不会完成。

原因

Event Parser 进程无法检测到挂起的连接，该连接在任一情况中发生：

已注册的 syslog 接收器未适当配置为Transport Layer Security (TLS)加密的连接。
TLS与ePO 服务器之间的握手中断。

要验证此文章是否适用，请：
转至已注册的服务器设置页面syslog 接收器，然后单击测试连接. 如果您未看到成功或失败消息，但看到三点，则出现此问题。

出现该问题的原因为 ePO 需要syslog 接收器接受 TCP 上的 TLS 连接。有关详细信息，请参阅syslog 接收器要求，请参阅KB91194.

当Event Parser服务尝试将事件转发给不符合要求的接收器，但无法成功连接。连接尝试变为无响应，一段时间之后，将消耗所有可用连接。此时，event parser停止处理事件。

解决方案 1

此问题在 ePolicy Orchestrator 5.10.0 更新 7中得以解决，该版产品可从以下产品下载站点获取：http://mcafee.com/us/downloads/downloads.aspx。

注意：您需要提供有效的授权号才能访问更新。

若要查看其他已知问题和已解决的问题，请参阅 KB90382。

ePO 中的更改5.10代码库包含在ePO 5.10 Update 7. 该设计更改阻止Event Parser 进程在尝试协商一个TLS 连接时无法响应。

解决方案 2

配置syslog接收器，以满足 ePO 服务器加密要求。有关详细信息，请参阅KB91194.

解决方法

选项 1- 禁用事件转发至syslog 作为一个短期解决方法，删除所有已注册Syslog 服务器：

登录到 ePO 控制台。
导航至菜单, 设置, 已注册的服务器.
选择 Syslog Server.
点击行动,删除.

选项 2- 停止所有事件转发到Syslog 服务器：

登录到 ePO 控制台。
导航至菜单,配置,服务器设置。
选择事件过滤.
单击编辑。
选择存储在McAfee ePO用于非过滤事件。
单击保存。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

ePolicy Orchestrator 5.10.x
Known Issue/Product Defect

语言:

此文章有以下语言版本：

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

ePO 5.10和已注册的 syslog 接收器之间存在 TLS 问题时，事件解析器不会发送事件

环境

问题

原因

解决方案 1

解决方案 2

解决方法

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

ePO 5.10和已注册的 syslog 接收器之间存在 TLS 问题时，事件解析器不会发送事件

环境

问题

原因

解决方案 1

解决方案 2

解决方法

免责声明

受影响的产品

语言:

选择您的区域

Title

Title