Cet article décrit les problèmes courants liés aux services d'annuaire et à la sensibilisation des utilisateurs, et propose des solutions suggérées. Pour plus d'informations, voir Configuration du serveur Windows pour les services d'annuaire.
Erreur : Impossible de se connecter au contrôleur de domaine
Challenge
Ce message d'erreur indique une défaillance de connectivité avec le contrôleur de domaine (DC) principalement due à des identifiants invalides. Ce message d'erreur est généralement suivi d'un message d'erreur « Identifiants invalides ».
""Solution""
Vérifiez que vous avez saisi correctement les paramètres de connexion d'authentification LDAP (Login DN, Base DN et mot de passe) dans l'application de gestion Cato (Accès > Services d'annuaire).
Erreur : NT_STATUS_ACCESS_DENIED
Challenge
Ce message d'erreur indique un problème de permissions. L'application de gestion Cato notifie lorsqu'elle ne parvient pas à accéder au DC. Ce message d'erreur est généralement suivi de l'événement : « DC_Connectivity_Failure » dans la section analytique. L'application de gestion Cato génère cet événement (une fois par heure) lorsque la connexion avec le DC échoue.
""Solution""
Suivez ces étapes pour résoudre ce problème :
Vérifiez le nom d'utilisateur et le mot de passe. Vérifiez que vous avez entré le bon DN d'identification et mot de passe. Vérifiez que le Socket Cato envoie le nom d'utilisateur correct lors de la tentative de connexion en capturant les paquets (PCAP) sur l'interface LAN du Socket ou du DC lui-même.
Vérifiez les permissions de l'utilisateur pour lire le journal des événements des paramètres du contrôleur de domaine. Suivez le guide d'aide en ligne - configuration de windows.
Si vous avez activé la synchronisation quotidienne des groupes et utilisateurs du service d'annuaire (Sensibilisation de l'utilisateur), vérifiez que vous configurez les contrôleurs de domaine pour la synchronisation en temps réel. Cliquez sur « Test Connection » et vérifiez si vous obtenez le résultat « Connection Successful ».
Vérifiez les événements dans la section Monitoring. Vous pouvez filtrer les événements en fonction du type d'événement : système et sous-type d'événement : Services d'annuaire et rechercher les erreurs de connectivité ou de synchronisation du DC.
Suivez le guide d'aide en ligne et vérifiez les paramètres de configuration du contrôleur de domaine.
Vérifiez que le trafic n'est pas bloqué par Internet ou le pare-feu WAN. La règle de pare-feu qui bloque les utilisateurs non identifiés peut bloquer l'utilisateur de synchronisation Cato et bloquer les services d'annuaire.
Mettez en œuvre toutes les étapes de la configuration dans le guide d'aide en ligne pour vérifier que chaque étape a été effectuée correctement. Si les autorisations ne sont pas bien définies sur le compte de service utilisé pour la connexion, vous obtiendrez une erreur d'accès refusé.
Erreur : NT_STATUS_UNSUCCESSFUL
Challenge
L'application de gestion Cato génère cette erreur lorsque le PoP ne parvient pas à accéder au DC pour la synchronisation en temps réel. Cette erreur apparaît lorsque vous cliquez sur le bouton "Afficher le statut" dans la section Contrôleurs de domaine pour la synchronisation en temps réel ou par email aux administrateurs de compte.
""Solution""
Cette erreur indique généralement une mauvaise configuration des paramètres de la fonctionnalité Sensibilisation des utilisateurs. Elle peut également survenir en raison de la configuration du pare-feu ou du routage. Suivez ces étapes pour résoudre le problème :
Vérifiez les événements et vérifiez s'il y a des événements d'utilisateurs non identifiés.
Vérifiez que le trafic n'est pas bloqué par le pare-feu Internet/WAN à cause des utilisateurs non identifiés.
Si c'est la première fois que vous activez la fonctionnalité Sensibilisation de l'utilisateur et que vous obtenez des erreurs de synchronisation DC, vérifiez que chaque étape est configurée correctement.
Assurez-vous que le DC est opérationnel et en cours d’exécution.
Exécutez une capture de trafic depuis l'interface utilisateur du Socket, en capturant les paquets (PCAP) sur l'interface LAN du Socket. Cliquez sur le bouton Afficher le statut. Arrêtez la capture et recherchez la requête WMI depuis le PoP Cato et la réponse du serveur dans le fichier de capture (en utilisant n'importe quel outil d'analyse de paquets réseau tel que Wireshark). Si le DC est derrière un site IPsec, lancez la capture sur le DC lui-même.
Erreur : NT_RPC_NT_CALL_FAILED
Challenge
L'erreur NT_RPC_NT_CALL_FAILED indique que le service RPC sur le DC ne répond pas. Cette erreur apparaît lors de l'appui sur le bouton « Afficher le statut » dans les contrôleurs de domaine pour la synchronisation en temps réel.
""Solution""
Vérifiez que le contrôleur de domaine est activé et en cours d'exécution, et vérifiez le CPU et la mémoire. Parfois, une forte utilisation du CPU ou de la mémoire provoque la surcharge du serveur.
Vérifiez que les services Windows du DC ont démarré et sont définis pour le démarrage automatique :
Serveur
Registre distant
WMI
Erreur : Code NT 0x80010111
Défi
Cette erreur signifie que le PoP ne peut pas communiquer avec le DC à cause d'une incompatibilité de l'en-tête RPC entre le PoP et le DC.
Solution
Cette erreur est courante spécifiquement sur Windows Server 2022 où la version RPC du DC est validée. C'est un problème connu que les clients peuvent rencontrer. Si vous recevez cette erreur, merci d'ouvrir un ticket auprès du Support Cato pour le résoudre.
Erreur de synchronisation UA Code NT 0xc002001b
Problème
L'erreur 0xc002001b code NT 0xc002001b apparaîtra lorsque le service RPC sur le contrôleur de domaine n'a pas répondu.
Cette erreur peut apparaître en cliquant sur « Test Connection » sous Accès > Sensibilisation des utilisateurs > LDAP ou en envoyant un email aux administrateurs de compte
Le problème peut causer :
Les utilisateurs ne sont pas identifiés dans les événements et les analyses.
Le trafic est bloqué par le pare-feu Internet/WAN à cause des utilisateurs non identifiés.
Nouvelle configuration utilisateur de la sensibilisation et obtention d'erreurs de synchronisation de DC.
Cause possible
Ce problème peut survenir en raison de ressources épuisées sur le contrôleur de domaine.
Résolution des problèmes
Les étapes suivantes sont des étapes de dépannage qui peuvent être suivies
Vérifiez que le contrôleur de domaine est opérationnel et qu'il n'est pas épuisé (pas de pics de CPU ou de RAM).
Augmentez la quantité de RAM et de CPU sur le serveur si possible.
Si l'ajout de ressources physiques supplémentaires au serveur n'est pas possible, suivez les étapes ci-dessous pour augmenter la mémoire du service Fournisseur WMI, gérer les quotas et réduire la taille des journaux des événements de sécurité :
Augmentez la mémoire WMI MemoryPerHost valeur (voir Augmenter les propriétés du quota WMI aux valeurs maximales)
Suivez les étapes ci-dessous pour réduire la limite de taille du journal de sécurité à 1 Mo :
Ouvrez le Visualiseur d'événements
Naviguez vers Visualiseur d'événements > Journaux Windows > Sécurité
Cliquez droit Sécurité et cliquez Propriétés
Définissez la Taille maximale du journal (Ko) à 1024
Lorsque la taille maximale du journal des événements est atteinte, sélectionnez Écraser les événements si nécessaire (les plus anciens événements en premier) ou Archiver le journal lorsqu'il est plein, ne pas écraser les événements.
Cliquez sur OK
Verify that the required domain controller services are running (open services.msc and check that Server, Remote Registry, and Windows Management Instrumentation are started and set for automatic startup.
En cas de signes de stress du contrôleur de domaine, il pourrait être nécessaire de redémarrer le serveur.
Erreur : Impossible de se connecter au contrôleur de domaine 0xc0000001 NT_STATUS_UNSUCCESSFUL
Si vous voyez le message d'erreur de statut non réussi dans l'application de gestion Cato comme suit :
“Impossible de se connecter au contrôleur de domaine 0xc0000001 NT_STATUS_UNSUCCESSFUL . Vérifiez que vous avez intégré correctement le contrôleur de domaine avec le réseau Cato. Si le problème persiste, contactez le support Cato pour obtenir de l'aide. Cliquez ici pour plus de détails.
Ceci est une erreur générale qui peut être le résultat de mauvaises configurations du contrôleur de domaine. Nous vous recommandons de suivre le guide de configuration.
Erreur - Impossible de se connecter au contrôleur de domaine (code 6)
Si vous voyez une erreur de connexion code 6 dans l'application de gestion de Cato, comme suit :
Il y a des étapes que vous pouvez suivre pour résoudre le problème.
Reconnexion du Socket Cato
Parfois, ce problème est résolu lorsque vous utilisez le WebUI du Socket pour déconnecter et reconnecter le Socket au Cato Cloud.
ATTENTION !Une action de reconnexion du Socket déconnecte toutes les sessions en cours pour le site. Le Socket se reconnecte au Cato Cloud en quelques secondes, puis la connectivité est rétablie immédiatement. Cependant, certains trafics sensibles à la connexion (comme les appels téléphoniques) sont interrompus.
Pour effectuer une action de reconnexion sur le Socket :
Connectez-vous à l'interface WebUI du Socket, dans votre navigateur web, entrez https://<adresse IP du Socket Cato>
Par exemple : https://10.0.0.26Entrez le nom d'utilisateur et le mot de passe.
Sélectionnez l'onglet Paramètres de connexion Cato.
Cliquez sur Reconnecter.
Déconnectez-vous du WebUI du Socket.
Dépannage de la connectivité au DC
Après avoir effectué l'action de reconnexion du Socket, l'erreur DC persiste, voici quelques suggestions supplémentaires pour diagnostiquer la connectivité au DC :
Vérifiez la connexion DC au Cloud Cato.
Vérifiez qu’il existe une communication bidirectionnelle entre le DC et le Cato Cloud.
Pour vérifier que le DC est connecté au Cato Cloud :
Assurez-vous que votre DC est allumé.
Dans l'application de gestion de Cato, allez à Accueil > Topologie et assurez-vous que le site avec le DC est connecté au Cato Cloud.
Vérifiez que vous envoyez un ping au DC depuis un hôte sur un site différent, ou pendant que vous êtes connecté au VPN Cato.
Si vous ne pouvez pas envoyer un ping au DC, voici quelques façons de résoudre le problème :
Dans l'application de gestion de Cato, vérifiez Accueil > Événements pour un événement de blocage. Devez-vous modifier la politique de pare-feu WAN pour autoriser le trafic ICMP vers le DC ?
Vérifiez la table de routage sur le DC et assurez-vous que le trafic est dirigé au Socket Cato ou au tunnel IPsec.
Vérifiez la politique du Pare-feu Windows sur le DC pour vous assurer que le trafic ICMP n'est pas bloqué.
Pour vérifier la communication entre le DC et le Cato Cloud :
Effectuez une capture de paquets soit sur l'interface LAN du Socket.
Si le DC est derrière un site IPsec, lancez la capture sur le DC lui-même.
Si une communication bidirectionnelle existe, vous pouvez voir une connexion sur TCP/135 vers votre DC initiée depuis la plage VPN Cato (10.41.0.0/16 par défaut).
Note : Cato peut utiliser n'importe quelle adresse IP de la plage VPN pour initier la connexion.
Note :À partir de Windows Server 2008, vous devez aussi autoriser TCP 49152-65535 pour le processus WMI à travers n'importe quel pare-feu. Il est aussi possible d'ajouter une règle de pare-feu Windows pour le service WMI spécifiquement. Voir : https://docs.microsoft.com/en-us/windows/win32/wmisdk/connecting-to-wmi-remotely-starting-with-vistaSi vous ne trouvez pas une connexion montrant une communication bidirectionnelle, voici quelques étapes pour résoudre le problème :
Si vous ne voyez aucun trafic provenant de la plage VPN vers le DC, contactez le support Cato.
Si vous ne voyez que des paquets SYN sur TCP/135 provenant de la plage VPN Cato vers votre DC, vérifiez la connectivité du DC :
Inspectez la table de routage sur le DC et assurez-vous que le trafic est dirigé vers le Socket Cato ou le tunnel IPsec.
Vérifiez la politique du Pare-feu Windows sur le DC et assurez-vous que le trafic n'est pas bloqué.
L'utilisateur n'est pas mappé par la conscience de l'utilisateur
Challenge
Dans certains cas, les utilisateurs sont affichés comme "utilisateur non mappé" dans la fenêtre de découverte des événements. La raison d'un utilisateur non mappé est que le PoP a pu découvrir le nom d'utilisateur en temps réel (en utilisant des requêtes WMI) mais cet utilisateur n'a pas été importé lors de la synchronisation LDAP et est non identifié. Par conséquent, le champ Nom AD de l'événement montre un utilisateur non mappé.
""Solution""
Vérifiez que l'utilisateur appartient au groupe. Si vous avez configuré les services de répertoire de Cato pour importer des utilisateurs et des groupes depuis le DC, et qu'un utilisateur n'appartient pas au groupe configuré, il apparaît alors comme un utilisateur non mappé.
Vérifiez la configuration de la politique d'audit pour le DC. Pour plus d'informations, consultez Configuration de la politique d'audit pour le contrôleur de domaine.
Les événements de connexion n'apparaissent pas dans la découverte d'événements
Challenge
Si vous avez activé la Conscience de l'utilisateur pour votre compte mais que vous ne voyez aucun événement de connexion des utilisateurs dans la Découverte d'événements, suivez les étapes décrites dans la solution suivante.
""Solution""
Vérifiez la configuration de la politique d'audit sur le DC. Pour plus d'informations, consultez Configuration de la politique d'audit pour le contrôleur de domaine.
La synchronisation des services de répertoire n'importe pas les utilisateurs
Challenge
Avec la Conscience de l'utilisateur, affiche en temps réel quels sont les noms d'utilisateur des hôtes derrière les sites. Il vous permet de voir les noms d'utilisateur des hôtes et pas seulement les adresses IP dans les sections Analytics. Les utilisateurs sont remplis à partir de la synchronisation des services de répertoire. La synchronisation utilise LDAP pour interroger le serveur Active Directory (AD). Parfois, la synchronisation LDAP échoue pour différentes raisons. Par exemple, LDAP de Microsoft a une limitation connue qui n'autorise que le retour d'objets avec moins de 1500 attributs dans une seule requête. Les grandes organisations peuvent facilement avoir plus de 1500 membres affectés à un groupe. Ainsi, lorsque le PoP exécute la requête LDAP, tous les groupes contenant plus de 1500 membres retourneront une liste de membres vide à l'application de gestion Cato, entraînant des utilisateurs désactivés/supprimés dans CMA.
""Solution""
Comme mentionné dans Synchronisation des Utilisateurs avec LDAP, pour prévenir la désactivation/suppression non souhaitée d'utilisateurs due à cette limitation, vous pouvez personnaliser le nombre maximum d'utilisateurs qui peuvent changer de groupe d'utilisateurs dans une seule synchronisation en configurant l'option "Empêcher la mise à jour de la participation au groupe" dans CMA.
Pour résoudre la réponse de requête vide du contrôleur de domaine, vous pouvez suivre ces étapes :
Vérifiez que les services Windows suivants sur le DC sont en cours d'exécution et configurés sur automatique :
Serveur
WMI
Registre distant
Vous pouvez ajuster l'attribut de politique LDAP Microsoft du DC pour MaxValRange. Cet attribut contrôle combien de valeurs seront renvoyées. Utilisez les deux articles suivants pour augmenter le MaxValRange ou supprimer totalement la restriction. Si vous ne souhaitez pas modifier l'attribut AD, alors Cato peut collecter des groupes avec moins de 1500 utilisateurs.
Article MS sur comment ajuster MaxValRange à l'aide de l'outil ntdsutil : https://support.microsoft.com/en-gb/help/315071/how-to-view-and-set-ldap-policy-in-active-directory-by-using-ntdsutil
Article/blog MS sur comment supprimer la restriction complètement :
https://docs.microsoft.com/en-us/archive/blogs/qzaidi/override-the-hardcoded-ldap-query-limits-introduced-in-windows-server-2008-and-windows-server-2008-r2
Événements d'audit manquants lors de l'utilisation de GPO
Challenge
Si vous utilisez un GPO avec des paramètres avancés de politique d'audit de sécurité et que tous les ID d'événements ne sont pas enregistrés, suivez les étapes décrites dans la solution.
""Solution""
Vérifiez la configuration de la politique d'audit pour le DC. Pour plus d'informations, consultez Configuration de la politique d'audit pour le contrôleur de domaine.
Configuration de la politique d'audit pour le contrôleur de domaine
La politique d'audit peut être définie localement sur le DC ou appliquée via GPO. GPO remplace la politique de sécurité locale. Les paramètres de politique d'audit avancée remplacent les paramètres de politique d'audit de base.
Vérifiez que la politique d'audit est configurée avec les ID d'événements que l'User Awareness utilise dans le journal de sécurité de Windows pour associer les utilisateurs aux adresses IP.
La liste suivante contient les ID d'événements que Cato utilise dans la politique d'audit:
4768 - Un ticket d'authentification Kerberos (TGT) a été demandé
4769 - Un ticket de service Kerberos a été demandé
4770 - Un ticket de service Kerberos a été renouvelé
4776 - Le contrôleur de domaine a tenté de valider les informations d'identification pour un compte\
4624 - Un compte s'est connecté avec succès
4648 - Une connexion a été tentée en utilisant des informations d'identification explicites
5140 - Un objet de partage réseau a été accédé
5145 - Un objet de partage réseau a été vérifié pour voir si le client peut obtenir l'accès souhaité
Pour configurer la politique d'audit localement sur le DC
Ouvrez la Politique de Sécurité Locale.
Allez dans Paramètres de Sécurité > Politiques Locales > Politique d'Audit pour configurer la politique d'audit de base, ou allez dans Paramètres de Sécurité > Configuration Avancée de la Politique d'Audit > Politique d'Audit pour configurer la politique d'audit avancée qui offre un contrôle plus granulaire sur la journalisation.
Pour configurer la politique d'audit en utilisant la Politique de Groupe:
Ouvrez l'Éditeur de Gestion de la Politique de Groupe.
Cliquez-droit sur le GPO qui s'applique à tous les Contrôleurs de Domaine et sélectionnez "Modifier"
Développez Configuration de l'Ordinateur > Politiques > Paramètres Windows > Paramètres de Sécurité > Politiques Locales > Politique d'Audit pour la politique d'audit de base ou Configuration de l'Ordinateur > Politiques > Paramètres Windows > Paramètres de Sécurité > Configuration Avancée de la Politique d'Audit > Politique d'Audit pour la politique d'audit avancée.
La liste suivante contient les ID d'événements utilisés par l'User Awareness de Cato:
Politique d'Audit de Base
Auditer les événements de connexion - 4624, 4648
Auditer les événements de connexion de compte - 4768, 4769, 4770, 4776
Auditer l'accès aux objets - 5140, 5145
Politique d'Audit Avancée
Connexion de Compte
Auditer le Service d'Authentification Kerberos – 4768
Auditer les Opérations de Ticket de Service Kerberos - 4769, 4770
Auditer la Validation des Identifiants – 4776
Connexion/Déconnexion
Auditer la Connexion - 4624, 4648
Accès aux Objets
Auditer le Partage de Fichiers – 5140
Auditer Détails du Partage de Fichiers - 5145
Vous pouvez vérifier quelle est la politique d'audit effective sur un DC en exécutant la commande suivante à partir de l'invite de commandes : auditpol /get /category:*