Отстраняване на проблеми

Зала е изключена, но все още има интернет

Изключено правило само по себе си не доказва, че интернетът е спрян. По реда на вероятността:

1. По-късно правило ACCEPT. Изпълнете Провери за защитната стена (Защитни стени → Проверка). Всяко предупреждение later_accept_policy: policy N "…" after room … accepts the room's computers when the room is disabled (…) е правило по-надолу в списъка със същото направление (или any), чийто източник (all, същите обекти или мрежа, която обхваща компютрите на залата) пропуска трафика. Например общо правило Internet Access for Students за цялата мрежа на учениците, поставено след правилата на залите. Администраторът на FortiGate трябва да извади управляваните адреси от него или да добави блокиращо правило след залите. Matrix не променя други правила.
2. Установени сесии. Връзки, отворени преди промяната, може да продължат. firewall-session-dirty check-all кара FortiGate да ги прецени отново, което не гарантира, че ще бъдат прекъснати. Проверете с нова връзка.
3. Компютърът не е в групата на залата или има различен IP от адресния си обект (DHCP е раздал друг адрес, ученикът го е сменил). Проверете Адреси и групи.
4. Друг изход: IPv6, друг интерфейс или правило, прокси.
5. Промяната не се е случила: вижте последния резултат на залата и записа в История със стъпките му.

Неактуални данни

Залите показват Неактуално състояние и не могат да бъдат превключвани, докато данните на защитната стена са неактуални (Зали → Неактуални данни). Банерът казва защо:

Причина	Какво да направите
конекторът е офлайн	Проверете компютъра с конектора: услугата Entrosity Matrix Connector работи, изходящ TCP 443 към hub.entrosity.com, журналът C:\ProgramData\Entrosity\Matrix Connector\logs\connector.log.
последните данни са твърде стари	Конекторът е онлайн, но не успява да прочете защитната стена навреме. Вижте състоянието на защитната стена и журнала на конектора.
още няма данни	Нова защитна стена: запазете ключа ѝ и изчакайте един интервал на данните.
Състояние на защитната стена (по-долу)	Вижте Състояние на защитната стена.

Състояние на защитната стена

Състояние / код	Вероятна причина	Какво да направите
unreachable	Компютърът с конектора не може да отвори HTTPS порта за управление на FortiGate.	Адрес и порт на страницата на защитната стена; маршрутизация; административният достъп на FortiGate на този интерфейс (разрешен HTTPS); доверените хостове (trusted hosts) на API администратора (FortiGate не отговаря от други адреси).
tls	Сертификатът на FortiGate не се потвърждава.	Поставете правилния CA сертификат (PEM); проверете дали името на хоста или IP адресът в Адрес е в сертификата.
auth_failed	HTTP 401/403: грешен или отменен ключ, IP адресът на конектора не е доверен хост или в профила липсва право.	Запазете нов ключ; проверете доверените хостове (IP адреса след NAT) и профила за достъп (Настройка на FortiGate).
version_mismatch	Версията на FortiOS не е Очаквана версия на FortiOS (например след обновяване).	Проверете, че правилата на залите се държат по същия начин в новата версия, изпълнете Провери и след това обновете зададената версия.
direction_invalid	Входящият или изходящият интерфейс или зона не съществува във FortiGate (преименуван?).	Поправете ги на страницата на защитната стена.
invalid_response	FortiGate е върнал непоследователни данни (списък, променен по време на четенето, отговор от друг VDOM, повтарящи се номера на правила).	Обикновено отминава при следващото четене. Ако продължава, проверете VDOM и журнала на конектора.
unknown_firewall	Конекторът (все още) не познава защитната стена.	Изчакайте минута след добавянето или преместването ѝ; проверете дали защитната стена се използва и е на правилния конектор.
unknown_driver	simulator на конектор, който не е стартиран с --dev.	Изпробване на Matrix със симулатора.

Откази

Промяна с резултат Отказано не е записала нищо. Причината казва защо:

Код	Значение	Какво да направите
room_not_granted	В момента на записа: правото ви за тази зала е премахнато, след като промяната е изпратена.	Обърнете се към администратор на тенанта (Права по зали).
forbidden	Вашата роля не може да прави това.	Роли и права.
writes_disabled	Промените са изключени за защитната стена, в Matrix или в защитата на конектора.	Защитни стени → Промени; guard set <id> --policy-writes on / --address-writes on.
guard_pending, guard_mismatch	Локалната защита на конектора не е приела тази защитна стена или настройките ѝ са променени.	matrix-connector guard show, след това guard accept <id> на компютъра с конектора (Конектори → Локалната защита).
snapshot_stale	Данните на защитната стена са неактуални.	Неактуални данни.
connector_offline	Конекторът не е свързан.	Проверете компютъра с конектора.
busy	Друга промяна на същата зала (или, при адресите, на същата защитна стена) е в ход.	Изчакайте малко.
rate_limited	Повече от 10 промени в минута от вас или 30 в тенанта (или локалният лимит на конектора).	Изчакайте минута.
unknown_room	Защитната стена не отчита (вече) тази зала; за учител – и зала, която не му е предоставена (Тази зала не е достъпна за вас (вече)).	Обновете; проверете правилото във FortiGate; поискайте правото от администратор на тенанта (Права по зали).
forbidden_policy	Правилото не е управляемо правило за зала (името, направлението или VDOM не съответстват).	Проверете правилото и шаблона и направлението на защитната стена.
room_mismatch, policy_changed	Правилото се е променило във FortiGate между четенията (преименувано, друга зала, състоянието е сменено от някой друг).	Обновете и проверете отново, преди да опитате пак.
unauthorized	Matrix е отказал записа в последния момент: правото е премахнато, авторът е излязъл, промяната е изтекла, промените са изключени. Стъпките в историята назовават причината.	Проверете стъпките; изпратете нова промяна, ако тя още е нужна.
conflict	Адреси: групата или IP адресът са променени, откакто сте ги заредили.	Обновете, проверете, опитайте отново.
duplicate_ip, duplicate_name	Друг управляван компютър има този IP; вече съществува обект с това име.	Изберете друг.
shared_object	Групата или обектът се използват и извън тази зала.	Променете го във FortiGate, ако е нужно.
invalid_input	Името или IP адресът са отказани.	Един DNS етикет плюс окончанието; IPv4 адресът на един хост.

Разрешени сайтове

Откази и съобщения при разрешените сайтове:

Код или съобщение	Значение	Какво да направите
sites_not_set_up	Адресната група на списъка или нейното ACCEPT правило липсва във FortiGate (и като грешка на задача, когато е изчезнала, след като страницата е заредена).	Администратор на тенанта отваря Настройка на FortiGate и командите се поставят във FortiGate (Разрешени сайтове → Настройка на FortiGate).
connector_outdated	Конекторът на защитната стена все още не поддържа разрешени сайтове (Конекторът на тази защитна стена все още не поддържа разрешени сайтове. Обновете конектора.).	Обновете конектора (Конектори → Обновявания).
invalid_domain	Домейн не е валиден: IP адрес, път, непозволен знак или повече от 200 домейна.	Използвайте име като example.com или *.example.com.
group_read_only	Matrix не може да променя групата: използва се и като адрес на източник или в друга група, или има вложени групи.	Във FortiGate използвайте групата само като местоназначение на правилото ѝ за разрешени сайтове.
writes_disabled	Разреши редакция на разрешените сайтове е изключено за защитната стена или защитата на конектора не разрешава записи на сайтове.	Защитни стени → Разрешени сайтове; на компютъра с конектора matrix-connector guard set <id> --site-writes on.
conflict	Списъкът е променен, откакто сте го заредили (някой друг го е запазил или е променен във FortiGate).	Обновете, проверете домейните и запазете отново.
forbidden, unknown_room	Списъкът за всички зали е за администраторите на тенанта; учителят променя само списъците на своите зали.	Роли и права.

За непотвърдени промени на списък използвайте Провери / повтори в списъка (Разрешени сайтове → Запазване и резултати).

Компютрите са офлайн в Axis, докато интернетът на залата е спрян

Това е очаквано: Matrix няма вградено изключение за Entrosity. Докато интернетът на залата е спрян, компютрите ѝ достигат само домейните от списъците с разрешени сайтове, затова агентът на Entrosity Axis на тях губи връзка, докато интернетът не бъде включен отново (компютрите се показват като офлайн в Axis; отдалечената поддръжка, скриптовете и разпространенията изчакват).

Администратор може да добави в списък домейните, нужни на Axis, но не го препоръчваме: Hub (hub.entrosity.com) и управлението на Axis (manage.entrosity.com) са зад Cloudflare, чиито адреси се споделят с много други сайтове, така че разрешаването им отваря за залата и тези сайтове (Разрешени сайтове → Агентите на Entrosity Axis). Включете интернета на залата, докато компютрите ѝ имат нужда от Axis.

Премахване на старата група с услугите на Entrosity

FortiGate, настроени с по-ранна версия на Matrix, имат адресната група Matrix Entrosity services като второ местоназначение на общото правило за разрешени сайтове (Matrix allowed sites). Matrix вече не я чете и не записва в нея и нищо не трябва да се променя: правилото продължава да се смята за правилото на разрешените сайтове. За да почисти, администратор изпълнява в CLI на FortiGate (<shared policy id> е ID на правилото Matrix allowed sites):

config firewall policy
    edit <shared policy id>
        unselect dstaddr "Matrix Entrosity services"
    next
end
config firewall addrgrp
    delete "Matrix Entrosity services"
end

Първо извадете групата от правилото: FortiOS отказва да изтрие група, която все още се използва от правило. Докато групата не бъде премахната, всичко в нея освен none остава достъпно от залите със спрян интернет.

Грешки

Промяна с Грешка / Неуспешно не е записала нищо: защитната стена не е била достъпна или е отговорила неочаквано (unreachable, tls, auth_failed, version_mismatch, direction_invalid, invalid_response), или промяната е стигнала до конектора твърде късно (expired, конекторът изобщо не я е поел: бил е офлайн). Вижте Състояние на защитната стена. Всички кодове: Кодове на грешки.

Непотвърдени промени

Непотвърдено означава, че запис е изпратен или може да е бил изпратен, а потвърждението му не е пристигнало: връзката с FortiGate е прекъснала след записа, конекторът се е рестартирал по средата или промяната е изтекла, след като конекторът я е поел.

1. Обновете и вижте залата (или компютъра).
2. Отворете промяната в История: стъпките показват докъде е стигнала.
3. Едва тогава я променете отново, ако е нужно. Matrix никога не повтаря сам непотвърден запис.

За операциите с адреси използвайте Провери / повтори за незавършената операция (Адреси и групи).

Защитата

• guard: run this from an elevated (administrator) prompt: отворете командния ред с Изпълни като администратор.
• firewall … is unknown (it appears after the server applied it): защитната стена още не е стигнала до конектора; проверете дали се използва и е зададена на този конектор и изчакайте минута.
• guard.json can be changed by non-administrators; it is ignored: правата на файла са променени. Възстановете ги (само SYSTEM и Administrators) или изтрийте файла и приемете защитните стени отново.

Неуспешни включвания

Зала, изключена до определен час, не е включена отново (График). Вижте Подробности: обикновено конекторът е бил офлайн 24 часа, защитата не е била приета или промените са били изключени. Включете залата ръчно, след като причината е отстранена.

Къде да търсите

• История: всяка промяна със стъпките и резултата ѝ.
• Одитен журнал (за администраторите на тенанта): промени в настройките (защитни стени, запазени и извлечени ключове, конектори, токени за регистриране).
• Компютърът с конектора: logs\connector.log и журналът на събитията Application (източник EntrosityMatrixConnector); matrix-connector status; matrix-connector guard show; matrix-connector check --config.