Application Delivery Management

Gateway Insight の問題のトラブルシューティング

Gateway Insight ソリューションが期待どおりに機能しない場合、問題は以下のいずれかにある可能性があります。トラブルシューティングについては、それぞれのセクションのチェックリストを参照してください。

  • Gateway Insight の構成
  • NetScaler と NetScaler ADM 間の接続の問題
  • NetScaler でのレコード生成
  • NetScaler® ADM での検証

Gateway Insight 構成チェックリスト

  • NetScaler アプライアンスで AppFlow 機能が有効になっていることを確認してください。詳細については、「AppFlow の有効化」を参照してください。

  • NetScaler の実行中の構成で Gateway Insight の構成を確認します。

    show running | grep -i <appflow_policy> コマンドを実行して、Gateway Insight の構成を確認します。バインドタイプが REQUEST であることを確認してください。例:

     bind vpn vserver afsanity -policy afp -priority 100 -type REQUEST
     <!--NeedCopy-->
    

    Gateway Insight には、バインドタイプ OTHERTCP_REQUEST も必要です。

     bind vpn vserver afsanity -policy afp -priority 100 -type OTHERTCP_REQUEST
     <!--NeedCopy-->
    
  • シングルホップ、Access Gateway、または Unified Gateway の展開の場合、Gateway Insight AppFlow ポリシーが VPN トラフィックが流れる VPN 仮想サーバーにバインドされていることを確認してください。詳細については、「HDX Insight データ収集の有効化」を参照してください。
  • ダブルホップの場合、Gateway Insight は両方のホップで構成されている必要があります。
  • NetScaler Gateway/VPN 仮想サーバーで appflowlog パラメーターを確認します。詳細については、「仮想サーバーの AppFlow の有効化」を参照してください。

NetScaler と NetScaler ADM 間の接続チェックリスト

  • NetScaler で AppFlow コレクターのステータスを確認します。詳細については、「NetScaler と AppFlow コレクター間の接続ステータスを確認する方法」を参照してください。

  • Gateway Insight AppFlow® ポリシーのヒット数を確認します。

    show appflow policy <policy_name> コマンドを実行して、AppFlow ポリシーのヒット数を確認します。

    GUI で [設定] > [AppFlow] > [ポリシー] に移動して、AppFlow ポリシーのヒット数を確認することもできます。

  • AppFlow ポート 4739 または 5557 をブロックしているファイアウォールがないか検証します。

NetScaler でのレコード生成チェックリスト

  • nsconmsg -d stats -g ai_tot コマンドを実行し、NetScaler での統計情報の増分を確認します。
  • nstrace ログ をキャプチャし、CFLOW パケットを確認して、NetScaler が AppFlow レコードをエクスポートしていることを確認します。

    注:

    nstrace ログ は IPFIX のみに必要です。Logstream の場合、nstrace ログ は ADC アプライアンスが AppFlow レコードをエクスポートしたことを確認するものではありません。

NetScaler ADM でのレコードの検証

  • tail -f /var/mps/log/mps_afdecoder.log | grep -i "Data Record: vpn_" コマンドを実行してログを確認し、NetScaler ADM が AppFlow レコードを受信していることを確認します。
  • NetScaler インスタンスが NetScaler ADM に追加されていることを確認します。
  • NetScaler Gateway/VPN 仮想サーバーが NetScaler ADM でライセンスされていることを確認します。

NetScaler ADM での Logstream ログの検証

NetScaler ADM が受信した Logstream データの検証は、以下の方法で行うことができます。

  • NetScaler ADM でのデータレコードロギングの有効化

    有効にすると、ログは /var/mps/log/mps_afdecoder.log で確認できます。

  • ULFD ライブラリロギングの有効化

    /mps/decoder_enable_debug コマンドを実行します。

    ログは /var/ulflog/libulfd.log にキャプチャされます。

    /mps/decoder_disable_debug コマンドを使用してロギングを無効にできます。

Gateway Insight カウンター

以下の Gateway Insight カウンターが利用可能です。

  • ai_tot_preauth_epa_export
  • ai_tot_auth_export
  • ai_tot_auth_session_id_update_export
  • ai_tot_postauth_epa_export
  • ai_tot_vpn_update_export
  • ai_tot_ica_fileinfo_export
  • ai_tot_app_launch_failure
  • ai_tot_logout_export
  • ai_tot_skip_appflow_export
  • ai_tot_sso_appflow_export
  • ai_tot_authz_appflow_export
  • ai_tot_appflow_pol_eval_failure
  • ai_tot_vpn_export_state_mismatch
  • ai_tot_appflow_disabled
  • ai_tot_appflow_pol_eval_in_gwinsight
  • ai_tot_app_launch_success

NetScaler ログの AppFlow レコード

リリース 13.0 ビルド 71.x 以降、NetScaler ログをチェックして AppFlow レコードがエクスポートされているかどうかを確認できます。syslogparams のデフォルトのログレベルは、すべてのエラーログと情報ログをキャプチャします。エラーに関する手がかりが見つからない場合は、syslogparams で DEBUG を含むすべてのログレベルを有効にして、DEBUG ログもキャプチャしてください。

サンプルログ

<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 147 0 : "GwInsight: Sent auth record Func=ns_sslvpn_export_auth_data Username=<name> Clientip=<ip>:<port> Destip=0:80 SessSeq=0 Sessid=<sessid> Gwip=<ip>:443 StatusCode=0 CSappid=0 CSAppname=(null) VPNfqdn=<vpnfqdn> Authtype=3 EPAid=(null) AuthStage=1 AuthDuration=309 AuthAgent=<auth_server_ip> Groupname= Policyname=<name> CurfactorPolname=<name> NextfactorPolname= CSecExpr= Devicetype=16777219 Deviceid=0 email="
<local0.err> … GMT 0-PPE-0 : default SSLVPN Message 143 0 : "GwInsight: Func=ns_aaa_copy_email_id_to_vpn_record input hash_attrs_len is zero"
<local0.err> … GMT 0-PPE-0 : default SSLVPN Message 148 0 : "GwInsight: Func=update_session_appflow_collector pcb or session is NULL"
<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 165 0 : "GwInsight: Sent session update record Func=ns_sslvpn_send_update_record Username=<> Clientip=<ip>:<port> Destip=<ip>:80 SessSeq=1 Sessid=<sessid> Gwip=<ip>:443 StatusCode=0 CSappid=0 CSAppname=(null) VPNfqdn=<fqdn> SSOAuthMethod=0 SessState=2 SessMode=2 IIP=0 AppByteCount=0 ReqURL=/Citrix/Store
Web BackendServername= SSOurl= email="
SSO logs:
<!--NeedCopy-->
<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 463 0 : "GwInsight: Sent session update record Func=ns_sslvpn_send_update_record Username=<name> Clientip=<ip>:<port> Destip=<ip>:80 SessSeq=2 Sessid=<sessid> Gwip=<ip>:443 StatusCode=150 CSappid=0 CSAppname=(null) VPNfqdn=<fqdn> SSOAuthMethod=1 SessState=4 SessMode=3 IIP=0 AppByteCount=0 ReqURL= BackendServername=<> SSOurl= email="
<!--NeedCopy-->
<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 582 0 : "GwInsight: Sent session update record Func=ns_sslvpn_send_update_record Username=<name> Clientip=<ip>:<port> Destip=<ip>:80 SessSeq=2 Sessid=<sessid> Gwip=<ip>:443 StatusCode=150 CSappid=0 CSAppname=(null) VPNfqdn=<fqdn> SSOAuthMethod=3 SessState=4 SessMode=3 IIP=0 AppByteCount=0 ReqURL= BackendServername=<> SSOurl= email="
<!--NeedCopy-->
<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 513 0 : "GwInsight: Sent session update record Func=ns_sslvpn_send_update_record Username=<name> Clientip=<ip>:<port> Destip=<ip>:80 SessSeq=2 Sessid=<sessid> Gwip=<ip>:443 StatusCode=150 CSappid=0 CSAppname=(null) VPNfqdn=<fqdn> SSOAuthMethod=2 SessState=4 SessMode=3 IIP=0 AppByteCount=0 ReqURL= BackendServername=<> SSOurl= email="
<!--NeedCopy-->
<local0.info> … GMT 0-PPE-0 : default SSLVPN Message 29796 0 : "GwInsight: Sent session update record Func=ns_sslvpn_send_update_record Username=<name> Clientip=<ip>:<port> Destip=<ip>:443 SessSeq=c Sessid=<sessid> Gwip=<ip>:443 StatusCode=155 CSappid=0 CSAppname=(null) VPNfqdn=<fqdn> SSOAuthMethod=6 SessState=4 SessMode=3 IIP=0 AppByteCount=0 ReqURL= BackendServername=<> SSOurl= email="
<!--NeedCopy-->

Citrix テクニカルサポートへのお問い合わせ

迅速な解決のために、Citrix テクニカルサポートに連絡する前に、以下の情報を用意してください。

  • 展開とネットワークトポロジの詳細
  • NetScaler および NetScaler ADM のバージョン
  • NetScaler および NetScaler ADM のテクニカルサポートバンドル
  • 問題発生時の nstrace キャプチャ

既知の問題

Gateway Insight の既知の問題については、ADC リリースノートを参照してください。