Перейти к содержанию
Shell

Symantec Endpoint Protection

Recommended Posts

Shell

Добрый день.

Сломал голову над проблемой.

Есть Филиал. На нем 10 компьютеров вместе с 2 серверами. Филиал на канале связи с головным офисом. Там был установлен сервер SEPM, к которому они были подключены. 28 апреля 4 клиента одновременно потеряли управляющий сервер. Посыпалась файловая система сервера (директория Liveupdate сначала потеряла к себе права доступа, а после checkdisk вовсе пропала). Восстановил сервер SEPM. Большинство клиентов восстановилась нормально. 4- нет.

В Troubleshooting - сервер=оффлайн. Остальные 6 клиентов - сервер видят. Остановил тот сервер, подключил к серверу в головном офисе. 6 клиентов перешли успешно. Эти 4 - все так же оффлайн. Через SEP Support tools существенных ошибок нет. Подключение к управляющему серверу утилита показывает нормальное.

Из ошибок через SEPSupport Tools:

Error Simple filesharing is enabled. Error Name:  WpsHelper Type:  Kernel Driver Status Setting Default Actual Error State Running Stopped Error Exit Code  С момента последней загрузки попытки запустить службу не делались.  Ok Start Type Demand Start Demand Start Ok Log On As LocalSystem LocalSystem Warning Symantec Endpoint Protection 11.0, MR4 (11.0.4000.2295)

Через SylinkDrop неоднократно подсовывал правильные параметры - и клиенты успешно кушают их, но связи так и нет. Пробовал подменить файл вручную - безрезультатно (параметры, естественно, выгружал с SEPM к которому подключаю). Дал задание айтишнику переустановить с нуля операционку одну, накатил SEP. Результат тот же. Смотрю через сниффер что же происходит на уровне сети. Даю smc -checkinstall, smc -updateconfig клиент лезет на управляющий сервер, получает через GET запрос /secars/secars.dll и сразу сервер отвечает Internal server error в пакете клиенту.

20718d5fdc4ft.jpg

По аналогии с 6 клиентами которые нормально - клиент от сервера должен на этом этапе получить Sem-HashKey (в случае новой сессии) и продолжать сессию.

При этом, на этом сервере без проблем висит 300+клиентов без каких либо похожих проблем.

Вот как выглядит клиент:

75588d69c2det.jpg

2 клиента из 4х без ошибок - но все же нет связи с SEPM.

Проблемных клиентов пробовал удалять из SEPM - с тех пор они даже не появлялись в SEPM, через поиск неуправляемых клиентов по этой подсети не находятся.

Бьюсь головой, не знаю куда копать.

Пробовал перецепить к прошлому их серверу, результат = 0.

Удалять\добавлять домен в SEPM пробовал, безрезультатно.

У клиентов (у компа, у учетной записи пользователя) нет доступа в Интернет. Но в настройках браузера прописано "не использовать прокси для подсетей ..." и там указана подсеть SEPM <<<- грешил на это, думая что http запросы могут таки идти и резаться через прокси пока не увидил трафик в живую к SEPM от клиентов.

Порт для сервера использую 8014.

Версия сервера и клиентов 11.0.4000.2295

Клиенты - под MS Windows XP SP2 buil 2600 Rus.

Проходился по клиентам вайпом - результат тот же.

Проблему выявил только с этими клиентами на этом Филиале.

P.S.

Сегодня попробовал установил последнюю версию клиента (4019). Результат тот же. Мистика какая то.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
MKR
Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

Немного не в тему, может подскажете в каком направлении искать:

клиенты получают политики с сервера. судя по логу System.log на компе, загружают обновления, но на сервере пустой лог Client-server act. с сервером к которому привязаны клиенты и Client act. по данным клиентам и во всех отчетах старая версия баз на клиентах, хотя повторюсь, клиенты получают базы судя по своим логам и ошибок не генерят.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

MKR версия? Диагностику запускали на сервере и на проблемном клиенте?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
MKR

4014 везде, вот такая ошибка на сервере:

Is Microsoft IIS correctly configured for Symantec Endpoint Protection Manager?

Error SEPM Virtual Directories with incorrect permissions: Location Expected Actual

/LM/W3SVC/1/ROOT None Scripts only

Error SEPM Virtual Directories with incorrect paths: Location Path

/LM/W3SVC/1/ROOT c:\inetpub\wwwroot

Эта ошибка есть и на другом сервере, с которым проблем нет, может дело в W2K3 R2? где то я слышал про это.

ссылка на статью http://www.symantec.com/techsupp/servlet/P...050.91.04282009

Отредактировал MKR

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

MKR попробуйте позвонить в тех. поддержку

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
MKR
MKR попробуйте позвонить в тех. поддержку

C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell
C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

Увы. Вчера в надежде проделал тоже самое. Накатил поверху через vpremote версию 11.0.4202.75. Сервер не обновлял. Безрезультатно. Те клиенты на Филиале что были видны в SEPM - видны и с новой версией. У проблемных - все та же ошибка. Сам сервер SEPM не могу обновить, так как много дочерних серверов обновлять придется (очень долго по времени вручную + трафик на удаленных каналах дороговато выходит).

Вот что видно через Sylinkmonitor:

05/26 16:10:59 [3472] <ScheduleNextUpdate>Manually assigned heartbeat=1 seconds05/26 16:11:00 [1508] <CheckHeartbeatTimer>====== Heartbeat loop starts at 16:11:00 ======05/26 16:11:00 [1508] <GetOnlineNicInfo>:Netport Count=105/26 16:11:00 [1508] <GetOnlineNicInfo>:NicInfo<SSANICs><SSANIC Ip= ....."... (removed)..05/26 16:11:00 [1508] <DoHeartbeat> Set heartbeat event05/26 16:11:00 [1508] Use new configuration05/26 16:11:00 [1508] <CSyLink::IndexHeartbeatProc()>05/26 16:11:00 [1508] <IndexHeartbeatProc> Got ConfigObject to proceed the operation.. pSylinkConfig: 01BDE52805/26 16:11:00 [1508] <IndexHeartbeatProc>====== Reg Heartbeat loop starts at 16:11:00 ======05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] Get First Server!05/26 16:11:01 [1508] <GetFirstSEMServer> Selecting a random server05/26 16:11:01 [1508] <GetFirstServer> Using server '10.0.0.25'05/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899805/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28998&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://10.0.0.25:8014/secars/secars.dll?h=54EB7B35441DFF6954C29031A6359987E1329E7FA870CE00602E86DF14F43B202CEABC59A0C62316CFFDE9EDAD6607CDE1B8BB22790B208A4E58263B489E72DBA01BAF0F4D4CDEC8719AD2FDB709A196CEAF4E3E10B28217AE4572A646E9862CE81ED46A0DD9EF594A9E382F463A8A68220ECB8B81EB184F980F0F2725CA077B5F13580B7697F3A86D55F192E559B9E67DDEE873C15E6AA6C35E784AC89228BFEF6C7CED39F90BCCAE6735A1B717D483277CA8723E6FFE35806BAD6AB73A6C024F313A138F8B5B4EE1F9DA3E179CE8FF645D9E9FF1174DDED39BBE81E6F5CF750A347A899BDCA613A990F2C55E52CB3DC58306E3D75DE9CA243C150176F6210D796C297D62A77C96002A4D6486337F81667F0B12AFB1D234CFFAA2B3CAE668246A3953A4BE29E14F2D0A813F9F268081F7688310D14C86CA86FEE0E027328353B6181B34B9369DEFD501455F4481977EBCB22BD03D0CDE1EA45EC9C2DE2759ED3E0378E9465E86C5428FAD4F428E3F268D7246830557E151C1D64F0693E5D904AE16A2066190705B0933371D437511C080503A9BB011F22203D1A4EBC0303BFA05/26 16:11:01 [1508] <GetIndexFileRequest:>SMS return=50005/26 16:11:01 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:01 [1508] HTTP returns status code=50005/26 16:11:01 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:01 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:01 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:01 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:01 [1508] HEARTBEAT: Check Point 5.105/26 16:11:01 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 805/26 16:11:01 [1508] Get Next Server!05/26 16:11:01 [1508] <IndexHeartbeatProc>switch to another server05/26 16:11:01 [1508] <DecrementScheduleTime:>New scheduled heartbeat=64 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899905/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28999&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://frade.sns.gk:8014/secars/secars.dll?h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etIndexFileRequest:>SMS return=50005/26 16:11:04 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:04 [1508] HTTP returns status code=50005/26 16:11:04 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:04 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:04 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:04 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:04 [1508] HEARTBEAT: Check Point 5.105/26 16:11:04 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:04 [1508] HEARTBEAT: Check Point 805/26 16:11:04 [1508] Get Next Server!05/26 16:11:04 [1508] <PostEvent>going to post event=EVENT_SERVER_DISCONNECTED05/26 16:11:05 [1508] <PostEvent>done post event=EVENT_SERVER_DISCONNECTED, return=005/26 16:11:05 [1508] <IndexHeartbeatProc>====== IndexHeartbeat Procedure stops at 16:11:05 ======05/26 16:11:05 [1508] <IndexHeartbeatProc>Set Heartbeat Result= 105/26 16:11:05 [1508] <IndexHeartbeatProc>Sylink Comm.Flags: 'Connection Failed' = 1, 'Using Backup Sylink' = 0, 'Using Location Config' = 005/26 16:11:05 [1508] <IndexHeartbeatProc>Connection Failed! No. of tries = 205/26 16:11:05 [1508] Use new configuration05/26 16:11:05 [1508] HEARTBEAT: Check Point Complete05/26 16:11:05 [1508] <IndexHeartbeatProc>Done, Heartbeat=128seconds05/26 16:11:05 [1508] </CSyLink::IndexHeartbeatProc()>05/26 16:11:05 [1508] <CheckHeartbeatTimer>====== Heartbeat loop stops at 16:11:05 ======

Тоесть, в принципе то что я и в снифере видел.

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Ну вот почему так всегда... Только собираешься похвалить один из 3х последних версий самый стабильный клиент SEP. И вот тебе раз

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

и потерял этот сервер. после перезапуска службы = java -1.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
и потерял этот сервер. после перезапуска службы = java -1.

поверх какой версии ставили?

Вот это проверяли?

http://service1.symantec.com/support/ent-s...d9?OpenDocument

И еще посмотрите вот эту статью, эта ошибка давно исправлено, но похоже ли на вашу проблему?

http://service1.symantec.com/support/ent-s...a2?OpenDocument

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Статьи уже давно в закладках. Не помогло сначала ничего абсолютно. Перепроверил все параметры, которые отвечали за данную ошибку. Уже все с закрытыми глазами делаю.

В логе ошибка

2009-05-26 18:29:31.236 SEVERE: Unknown Exception in: com.sygate.scm.server.servlet.StartupServletjava.lang.Exception: HTTP 404 Not Found, URL: http://localhost:8014/secars/secars.dll?action=34

и все тут. Служба стартует, две-три секунды и останавливается с типовой ошибкой. Реконфигурация сервера SEPM тоже не помогала.

Но настырности не занимать. Установка\удаление программ->Recovery. Результат положительный. Сервер восстановился, база цела, настройки тоже.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Кейс зарегистрирован 27 мая. Пока молчание. По словам поддержки - проблема из за создающихся дублей в БД.

Есть ли смысл пройтись на боевом сервере по табличкам запросом и поубивать записи относящиеся к данным компам? И не будет ли краха базы? Там же вроде все проиндексировано...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Попробовал удалить проблемного клиента из таблиц скриптом по COMPUTER_ID = 2013D99E0A000019003C96161F81FE87 (этот ID выдернут из таблиц, принадлежит 1му клиенту).

DELETE FROM [Endpoint].[dbo].[sEM_COMPUTER]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_CLIENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[LEGACY_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'

Увы, к положительному результату не привело.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Увы, к положительному результату не привело.

Напишите мне в ЛС номер кейса

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Shell пытаются воспроизвести проблему, должны в ближайшее время связаться

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Shell

Решение есть. Спасибо поддержке.

Необходимо:

1) Остановить SEPM

2) Остановить SEP на клиенте (или smc -stop).

3) Выбрать из таблиц запросом проблемного клиента SEP

SELECT * from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'SELECT * from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'

Выбирать необходимо из обоих таблиц, так как искомый [CLIENT_ID] может быть в нескольких записях и разный в таблицах.

4) Выбираем [CLIENT_ID] для дополнения запроса.

5) Скриптом указанным ниже удаляем записи из таблиц

DELETE from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_AGENT]where [COMPUTER_ID] = 'clientid' orwhere [COMPUTER_ID] = 'clientid2' orwhere [COMPUTER_ID] = 'clientid3'

6) Стартуем SEPM

7) Стартуем на клиенте SEP и смотрим в troubleshooting-->server.

Можно и таким скриптом (проще :) )

delete from [Endpoint].[dbo].[sEM_AGENT] where [COMPUTER_ID] not in (select [COMPUTER_ID] from [Endpoint].[dbo].[sEM_COMPUTER])

где [Endpoint].[dbo] - имя БД SQL (по умолчанию, по-моему sem5).

Предыдущей моей ошибкой было то что не остановил SEPM\SEP.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×