态势感知平台被动采集器显示离线

网络连通但采集器显示离线，通常意味着采集器服务本身异常或平台与采集器之间的管理心跳中断，而非简单的网络不通。建议按以下顺序排查：

 第一步：检查并重启采集器服务（最高优先级）

这是最常见的原因，采集器服务可能因异常而“假死”。

1. Web页面查看状态：登录态势感知平台，进入 系统配置 > 数据来源 > 采集器管理，确认被动采集器状态。

2. SSH登录后台重启：使用 cyber 账号SSH登录采集器主机，执行以下命令重启被动采集器服务：

   bash

   # 切换到root用户（默认密码 H3c@cyber123，若修改过以实际为准） su - root # 查看服务状态 systemctl status csap-collector-passive # 重启被动采集服务 systemctl restart csap-collector-passive

   如果上述命令无效，可尝试进入脚本目录手动重启：

   bash

   cd /data/csap-log-collector/collector/bin ./collector.sh restart

3. 验证恢复：等待2-3分钟后，返回Web页面刷新，查看采集器状态是否变为在线。

 第二步：检查系统时间同步

平台与采集器之间的时间偏差超过5分钟，会导致鉴权失败，资产被判定离线。

• 检查平台时间：在态势感知Web界面，进入 配置中心 > 系统管理 > 全局设置 > 时间管理，核对系统时间是否准确。

• 检查采集器主机时间：SSH登录后执行 date 命令，对比与平台时间是否一致。

• 解决方案：确保平台与采集器使用同一套NTP服务器，统一时间源。

 第三步：检查磁盘空间与端口占用

磁盘满或端口被占用会导致采集进程异常。

1. 检查磁盘空间：SSH登录后执行 df -h，查看磁盘利用率是否过高（如超过90%）。磁盘占满会造成采集进程异常，资产陆续离线。

2. 检查514端口占用：被动采集依赖UDP 514端口接收Syslog日志。执行以下命令检查端口是否被其他进程占用：

   bash

   netstat -ulnp | grep 514

   如有其他进程占用514端口，需结束该进程后再次重启采集服务。

 第四步：检查管理网络连通性与端口

“探针网络联通正常”通常指数据采集链路（如镜像流量）正常，但采集器还需与平台进行管理心跳通信，使用不同的端口。

• 确认管理端口：采集器与平台的管理通信默认使用 8080、18080 等端口（以实际部署为准）。

• 测试连通性：在采集器后台，使用 telnet 平台IP 8080 测试管理端口是否可达。

• 检查防火墙策略：确认采集器与平台之间没有防火墙或ACL拦截上述管理端口。

 第五步：检查License授权

被动采集模块需要有效的License授权，授权缺失会导致服务被系统禁用。

• 进入 配置中心 > 系统管理 > License管理，确认日志采集/被动采集模块的授权已导入且未过期。

 第六步：检查日志源关联

采集器服务正常后，还需确认日志源已正确关联到该被动采集器。进入 系统设置 > 日志源配置 > 采集器管理，检查日志源是否已绑定。

  被动采集器显示离线但网络 ping 可达，优先登录 CSAP 后台检查 UDP514 端口监听状态；端口未监听则重启被动采集进程collector.sh restart。确认日志源 syslog 发送目的 IP 是被动采集器采集网卡 IP，中间设备放通 UDP514；多租户场景确认采集器和日志源归属同一租户；同时核对日志源 syslog 报文源 IP 与平台日志源配置 IP 保持一致，抓包确认 CSAP 采集网卡实际收到 syslog 报文。  

根据您提供的信息，态势感知平台收不到日志且被动采集器离线，即使与探针网络联通正常，建议按以下步骤排查：

1. 确认采集器状态并尝试重启
进入“系统配置 > 数据来源 > 采集器管理”页面查看采集器状态。若为离线，登录服务器后台执行以下命令重启采集器：

如果重启后仍为离线状态，可联系H3C驻本地技术人员协助定位。

2. 检查系统时间一致性
日志源设备发送日志的时间与态势感知平台系统时间相差超过24小时时，日志会被直接丢弃。请分别确认两侧时间：

• 登录态势感知平台，“系统配置-全局配置-时间管理”查看系统时间。
• 登录日志源设备（如FW），在“维护-系统设置-日期和时间”中配置时区为北京（GMT+08:00），并校准时间。
  部分设备默认使用格林威治时间，可能导致日志时间戳异常，需改为本地时间发送，例如防火墙可执行：

此问题也曾导致日志主机收到报文但无法显示。

3. 检查日志源配置是否规范

• 确认设备侧日志服务器的IP地址、端口号（默认514）与态势感知平台配置一致。
• 检查日志过滤设置，例如ACG设备需开启探针模式，并确保各类型日志发送配置符合要求（如仅发送IPS日志、AV日志、会话日志等），避免上报大量无关日志影响采集性能。
• 在态势感知平台上，确认日志源配置中未勾选“例外”，因为“例外”中的日志类型会被丢弃且不进行适配存储。
• 检查日志源使用的接口IP地址，推荐在设备上通过info-center loghost source命令指定发送日志的源IP。

4. 抓包验证日志报文是否到达平台
若配置无误但采集器统计中无日志，可登录平台后台执行抓包，确认日志报文是否已发送到平台或是否被中间链路丢弃：

该命令可确认日志报文是否到达平台及是否存在链路丢弃。

5. 其他潜在原因

• 字符集配置：若威胁日志出现乱码，可尝试将字符集修改为GBK/GB2312，否则可能导致安全事件解析异常。
• 设备类型误配：例如现场选用“流量探针”类型，但实际设备为NTA-V，应选择“威胁检测探针”，否则联动失败也会导致日志接入异常。

若以上步骤均无法解决，可拨打新华三技术服务热线400-810-0504（7*24小时）寻求帮助。