vipnet coordinator HW1000 , HW100 и zabbix agentd

[Artoym]

При замене координатора с версии 3.1 (на windows) на ПАК hw/kb 1000 и (HW100) версии 4
Перестали работать zabbix agentd для системы мониторинга Заббикс
Порт 10050 (на котором работает в пасивном режиме агент заббикса) в координаторе разрешено все в обе стороны

Ошибка Get value from agent failed: ZBX_TCP_READ() failed: [104] Connection reset by peer
Ошибка получить значение из агента не удалось: ZBX_TCP_READ () не удалось: [104] соединение сброшено равноправным узлом

root@Zabbix:~# zabbix_get -s 192.168.211.3 -p 10050 -k agent.ping
zabbix_get [7751]: Get value error: ZBX_TCP_READ() failed: [104] Connection reset by peer
zabbix_get [7751]: Check access restrictions in Zabbix agent configuration
zabbix_get [7751]: получить значение ошибки: ZBX_TCP_READ() не удалось: [104] соединение прервано zabbix_get [7751]: проверьте ограничения доступа в конфигурации Zabbix агента

Лог агента
192.168.60.111 - Zabbix Server
192.168.280.194 - Випнет координатор внешняя сеть
В пассивном режиме агент выдает данные исключительно по запросу с сервера.
Когда Заббикс сервер запрашивает данные у агента координатор их отфутболивает я так понимаю , а когда агент сам шлет данные они проходят (в случае активной проверки)
Телнет проходит.
2648:20180820:080103.509 Starting Zabbix Agent [21Program]. Zabbix 3.4.6 (revision 76819).
2648:20180820:080103.509 **** Enabled features ****
2648:20180820:080103.509 IPv6 support: YES
2648:20180820:080103.509 TLS support: NO
2648:20180820:080103.509 **************************
2648:20180820:080103.509 using configuration file: C:\zabbix\zabbix_agentd.win.conf
2648:20180820:080103.509 agent #0 started [main process]
2668:20180820:080103.509 agent #1 started [collector]
2672:20180820:080103.509 agent #2 started[listener #1]
2676:20180820:080103.509 agent #3 started[listener #2]
2684:20180820:080103.509 agent #5 started [active checks #1]
2680:20180820:080103.509 agent #4 started[listener #3]
2684:20180820:080103.572 active check configuration update from [192.168.60.111:10051] started to fail (bind() failed: [0x00002741] Требуемый адрес для своего контекста неверен.)
2672:20180820:080317.738 failed to accept an incoming connection: connection from "192.168.280.194" rejected, allowed hosts: "192.168.60.111"
2680:20180820:080328.580 failed to accept an incoming connection: connection from "192.168.280.194" rejected, allowed hosts: "192.168.60.111"
2680:20180820:080328.580 не принимает входящие соединения: подключение "192.168.280.194" отклонено хосту: "192.168.60.111"

Активные проверки работают на агенте 10051
JMX - работает


Именно не работают пассивные проверки на 10050
Что может быть?

[zero]

Вы сами поставили на ПАК агент Zabbix?  Или о чём речь?

[Artoym]

9 минут назад, zero сказал:

Вы сами поставили на ПАК агент Zabbix?  Или о чём речь?

Нет агента на самом ПАКе нет , агенты стоят на серверах после ПАК
Заббиск сервер  - Випнет Координатор - (канал связи VPN) - Випнет Координатор - Сервера на них агенты заббикс

[zero]

 Если связь с агентом не проходит именно через координатор, то Вы это увидите в журнале ip-пакетов, появятся блокированные пакеты. Они есть?

[Artoym]

У меня лично нет доступа к кординатору мне его поставили настроили говорят все должно работать мол порты тебе открыли а не работает , а на старой версии все работало после замены на пак перестало, может есть какие то дополнительные настройки где то что то разрешить нужно еще.
Про журнал уточню отвечу

[zero]

3 минуты назад, Artoym сказал:

может есть какие то дополнительные настройки где то что то разрешить нужно еще

 Так никто же не знает, что именно разрешили и как. Если у Вас Заббикс сервер и Заббикс клиенты стоят в туннелях, то и настраивать ничего не  нужно было, по-умолчанию на ПАК весь туннелируемый трафик разрешен.

[Artoym]

5 минут назад, zero сказал:

 Так никто же не знает, что именно разрешили и как. Если у Вас Заббикс сервер и Заббикс клиенты стоят в туннелях, то и настраивать ничего не  нужно было, по-умолчанию на ПАК весь туннелируемый трафик разрешен.

По содержимому пакетов Vipnet не может их блокировать?  По идее значит должно бы работать...

[zero]

 Гадать можно долго. Просите журнал ip-пакетов.

[Artoym]

4 часа назад, zero сказал:

 Гадать можно долго. Просите журнал ip-пакетов.

Вроде как подразобрались в журнале ничего по поводу блокировок нет.
Вышло так что с Заббикс форум
"Нет, отфутболивает не координатор, а сам агент Zabbix, поскольку запрос к нему приходит не с того IP-адреса, который он ожидает:

Code:

failed to accept an incoming connection: connection from "192.168.280.194" rejected, allowed hosts: "192.168.60.111"

В конфиге Zabbix-агента прописано "Server=192.168.60.111", а запрос приходит с адреса 192.168.280.194.
Что это за адреса и что с этим делать дальше - Вам виднее.
На мой взгляд, изменились настройки NAT. "

прописали в конфиге агента
Server=192.168.60.111,192.168.280.194
и все заработало
Но так надо везде будет прописывать внешний ip координатора и если он сменится потом нужно его менять, а в чем причина пока так и не поняли поччему он напрямую не дает

[zero]

5 минут назад, Artoym сказал:

а запрос приходит с адреса 192.168.280.194

Это чей адрес?

[Artoym]

4 минуты назад, zero сказал:

Это чей адрес?

Это внешний IP адрес координатора

"Мне сказали что в инфотексе сказали знают о проблеме
При отключении ната на координаторе все работает как раньше на 192.168.60.111
(трансляция адресов кривая в туннелях в качестве защиты)
если жестко задать  подсетки откуда куда можно , то работает"

Пока вообщем тестирую пока работает как нужно что то мне там настроили

[zero]

1 час назад, Artoym сказал:

Это внешний IP адрес координатора

  Кто-то как-то настроил Вам нат для туннелей. Может в ТП что-то знают об этом. А на форуме - вряд ли. Насколько знаю я официально поддерживается и работает только нат во внутренний адрес координатора, который смотрит на туннели. Все другие способы на свой страх и риск, стабильная работа не гарантируется.

 

1 час назад, Artoym сказал:

трансляция адресов кривая в туннелях в качестве защиты

Защиты от чего? Чтобы маршрутизацию не менять в сети еще можно понять, но защищаться с помощью ната это что-то новое.

[Artoym]

14 часов назад, zero сказал:

  Кто-то как-то настроил Вам нат для туннелей. Может в ТП что-то знают об этом. А на форуме - вряд ли. Насколько знаю я официально поддерживается и работает только нат во внутренний адрес координатора, который смотрит на туннели. Все другие способы на свой страх и риск, стабильная работа не гарантируется.

 

Защиты от чего? Чтобы маршрутизацию не менять в сети еще можно понять, но защищаться с помощью ната это что-то новое.

Не лично я настройки делаю сказать конкретно не могу, что мне сказали и на писал на форуме, сейчас вопрос можно считать закрытым, все работает как и раньше.
Спасибо за помощь и быстрые ответы!!!