このプレイブックは、LANモニタリングが設定されているときにCato Cloudがサイトの背後にあるホストに接続できない場合の問題解決手順について説明します。
概要
LANモニタリング機能は、サイトの背後にあるホストをそのIPアドレスで定義し、そのホストの故障しきい値（連続したICMPテストの最大許可失敗回数）を設定することができます。 Cato CloudのPoPはホストにICMPテストを送り、指定された回数のICMPテストに応答しない場合にはダウンと見なし、自動的にイベントが生成されます。 ホストに到達できない場合のメール通知を送信することも選択できます。
ホストとPoPの接続性が復元されると、新たなイベントが生成され、ホストが到達可能であることが示されます。
詳細情報は、サイトのLANモニタリングの設定作業 をご参照ください。
以下に、Cato管理アプリケーションの管理者がモニタリングされているPoPへの未到達ホストを確認するためのいくつかの方法を示します：
XDRインシデント検出ページに移動し、ネットワークXDRプリセットを使用して、LANモニタリングホストにアクセスできませんというストーリーを探します。
このストーリーには、サイトの現在のステータスやインシデントタイムラインなどの情報が含まれています。
ホストにアクセスできませんアクションのLANモニタリングイベント
LANホストに到達不能のプリセットフィルターを使用し、必要に応じて時間枠を調整します
LANモニタリングのメール通知
LANモニタリングルールでメール通知が有効な場合、メールはメーリングリストに送信されます（管理者以外も含まれる場合があります）
サイトオペレーションのストーリーに対応する際には、まず問題が続いていることを確認し、その後問題のトラブルシューティングを行い、最終的に問題が解決されたことを確認することが重要です。
ステップ1 - ホストが到達不能を確認する
このセクションでは、ホストにアクセスできない理由を確認するために使用できるCatoのさまざまなツールについて説明します。
LANモニタリングイベントプリセットを利用する
LANモニタリングプリセットイベントフィルターを使用すると、問題のホストに関連する最後のイベントを確認できます。 このイベントの後に接続性が戻ったことを示すイベントが続かない場合、ホストはまだアクセスできないことを示します。
現在のステータス用のストーリーを表示する
ストーリー自体も、ホストの継続的な到達不可を確認するのに使用できます。 ストーリーの現在のステータスがダッシュボードにリストされています。 オープンというストーリーステータスは、このイベントがまだ進行中であることを示しています。
ステップ2 - ホスト接続性のトラブルシューティング
このセクションでは、Cato内のツールを使用して、この種のインシデントに対する構造化されたトラブルシューティングアプローチをとることができます。 これらのステップは一般的に順序に従う必要がありますが、これらのチェックの結果が次のステップを決定するかもしれません。
監査証跡での変更の確認
Cato管理アプリケーションの監査証跡ページで変更を確認し、この問題に関連する設定があるかどうかを確認します。 ホストのステータスの変更に直接繋がるような設定があれば、変更を元に戻すことを検討してください。
既知のホスト
CMAの既知のホストページ（ネットワーク > サイト > {site name} > サイトモニタリング > 既知のホスト）を使用して、サイト内で確認された個々のエンドポイントについての情報を収集できます。 この情報には、そのホストから送信された最後のパケットがどれくらい前に確認されたかが含まれます。
通常、LANモニタリングの一環としてICMPパケットに応答する監視対象のホストは、このタイマーを常に更新します。 上記のような例は、ホストの到達可能性が失われる時間を示唆します。 これが追加のコンテキストを提供するかもしれません。 この時間枠が、ホストの接続性に影響を与える可能性のある既定のメンテナンスウィンドウや電源イベント、またはローカル環境でのネットワーク変更と一致するかどうかを確認してください。
ソケットWebUIツールを使用する
ソケットWebUIを使用して、LANインタフェースからホストにpingすることができます。 詳細情報は、ソケットWebUIツールの使用をご覧ください。
ソケットWebUIから、以下の設定でホストにpingします：
経由地 - LAN
ホスト名/IP - アクセスできないホストのIPアドレス
pingに応答がない場合、問題はルーティングに関連しているか、ホストが一般的に到達できない、電源がオフになっている、またはpingに応答するように設定されていない可能性があります。
ソケットWebUIツールを使用して、対象ホストにpingを送信しながらLANインタフェースのPCAPを採取します。 ソケットとホスト間で双方向のpingがあるかどうかを確認してください。
上記の例は、問題のホストの物理アドレスをARPingする際にソケットからの応答がないことを示しています。 これは、ホストがソケットLANの同じローカルネットワーク上にあるが、ホストがレイヤー2で応答していないことを示します。 この結果に対して、ホストが電源オンで、ARP要求に応答する準備ができていることを確認してください。
上記の例は、ソケットとPoPの元のLANモニタリングに設定されたICMPリクエストをモニタリングされたホストに示しています。 10.254.254.1の送信元アドレスと、PoPによって送信されたICMP LANモニタリング要求間の時間差（10秒）に注目してください。 ICMP要求が送信されている事実は、次のホップまたはエンドホストのMACアドレスがこれらの要求を送信するために利用されていることを示しています。 このMACアドレスが、監視対象ホストがレイヤー3の境界の背後に存在することを示唆しているか、またはソケットのLANネットワークにローカルであるかを確認してください。監視対象のホストがレイヤー3の境界の背後にある場合、そのホップでICMP要求がどのように処理されているかを調査し始めてください。 レイヤー3境界デバイスにホストからのICMP応答が届いている場合、レイヤー3境界でのルーティングの問題である可能性が高いです。
監視対象ホストがソケットのLANネットワーク内にある場合、デバイスの電源がオフになっているか、設定がされていないか、ICMPに応答できない可能性があります。
ステップ3 - ホストが到達可能であることを確認する
ホストの問題を修正後、到達可能であり、Cato Cloudへの接続性があることを確認してください。
既知のホストページでのホストの表示
既知のホストページからホストを表示し、最後のホスト活動が現在の時刻を表示していることを確認します。
ソケットWebUIからホストへのping
LANインタフェースを使用してホストを確認するために、ソケットWebUIを使用してサイトへの接続性を確認してください。
到達可能なホストイベントを確認する
ホストとCato Cloud間の接続性が復旧すると、ホスト到達可能イベントが生成されます。 イベントを表示するには、アクション が ホスト到達可能であることを示すようにイベントフィルターを手動で設定できます。
Catoサポートへのケースの提起
このプレイブックに従った後でも問題を解決できない場合は、Catoサポートにチケットを上げることを検討してください。 これを行う際には、上記の手順に従って収集した知見をすべて含めることが重要であり、最も迅速な解決が図れます。
サポートチケットの提出を参照してください