imc内网外联日志审计

iNode EAD 离线外联重连内网不上报日志完整根因 + 分步排查
核心原理先讲清楚
离线外联日志上报机制
电脑断开内网、单独连外网产生违规外联事件 → iNode 本地缓存这条日志；下次重新认证接入内网成功后，自动批量上传缓存的离线外联记录到 iMC。
你现象：离线外联产生记录，但重连内网后 iMC 查不到这条监控日志，分 4 大类配置 / 环境故障。
日志查看位置：iMC【用户】-【用户接入日志】-【内网外联监控日志】，不是普通上网审计日志。
一、EAD 安全策略配置缺失（最高概率）
1. 接入安全策略必须开启 2 个关键选项
路径：iMC【用户】→【接入策略管理】→【EAD 安全策略】→编辑对应下发终端的策略
1）勾选 启用防内网外联功能（你已开）
2）必须勾选 离线 Ping 监控服务器来监控内网外连（缺失这条 = 离线外联不会本地缓存事件，自然无日志可上传）
3）填写内网监控 IP（内网可达固定网关 / 服务器 IP，如 192.168.1.1）
4）设置离线记录最大条数（默认 50，不要填 0）
5）审计上报周期默认 300s，保持默认
坑点：只开防外联拦截、不开离线 Ping 监控，终端断内网连外网不会生成缓存日志，重连后无数据上报。
2. 确认策略已下发到测试终端
终端 iNode 客户端 → 【安全检查】→查看防内网外联配置是否正常加载；
如果策略未更新，退出 iNode 重认证，强制拉取最新 EAD 策略。
二、策略服务器参数未启用，客户端无法回传缓存日志
离线外联缓存日志走策略服务器端口上传，不是 RADIUS 端口：
iMC 后台路径：【用户】→【接入策略管理】→【业务参数配置】→【系统配置】→【策略服务器参数配置】
勾选 启用策略服务器，填写 iMC 业务 IP，端口默认 9019；
防火墙 / 服务器本地防火墙放行9019 TCP（终端回传日志专用端口）；
终端与 iMC 服务器三层互通，无 ACL 拦截 9019 端口。
典型现象：离线有外联行为、本地缓存日志，但重连内网上传被防火墙拦截，iMC 收不到。
三、iNode 客户端版本 / 缓存机制故障
老旧 iNode 客户端 BUG
E0648 及以下版本存在离线外联缓存丢失、重连不上传缺陷，升级 iNode 至 E0660/E0670 稳定版。
客户端本地缓存损坏处理
退出 iNode 客户端；
删除 C:\Program Files\H3C\iNode Client\conf 缓存目录；
重新认证接入内网，复现离线外联测试。
网卡多网卡兼容问题
笔记本同时有线 + 无线双网卡离线连外网，多网卡场景部分旧版 iNode 无法生成外联记录，测试时仅保留一张外网网卡。
四、iMC 日志接收 / 存储过滤问题
确认 iMC EAD 服务正常运行
iMC 部署监控页面，查看 UAM/EAD 后台服务无异常停止。
数据库日志过滤 / 过期清理
内网外联日志默认保留周期 7 天，若测试间隔超过周期，记录自动清理；缩短测试间隔复现。
区分两种日志不要查错
在线同时内外网访问审计日志：【内网外联访问审计】
断开内网单独连外网（离线外联）日志：【内网外联监控日志】（你需要查这个标签页）
五、完整复现验证流程（定位故障环节）
配置补齐：开启离线 Ping 监控 + 策略服务器启用、放通 9019 端口；
终端退出 iNode，拔掉内网网线，单独连接手机热点 / 外网；
持续 ping 外网 5 分钟，产生离线外联行为；
断开外网，插回内网网线，打开 iNode 重新认证登录；
登录成功等待 5 分钟（上报周期），进入 iMC 内网外联监控日志检索对应 MAC；
分现象判断故障点
复现后依旧无日志 → EAD 策略未开启【离线 Ping 监控服务器】；
终端 iNode 提示 “上传安全日志失败” → 策略服务器 9019 端口不通、防火墙拦截；
部分终端有日志、笔记本无日志 → iNode 版本过低 / 多网卡兼容 BUG；
在线同时内外网能查到审计日志，离线查不到监控日志 → 离线监控开关未勾选。
六、补充配套检查（容易忽略）
离线 ACL 必须正常配置（在线 ACL、离线 ACL），策略中绑定对应客户端 ACL；
测试用监控 IP 必须离线时无法 ping 通、在线内网可正常 ping 通；
Windows 防火墙、终端安全软件不要拦截 iNode 客户端对外 9019 端口访问。

内网外联日志未能上传到iMC，通常是因为客户端与服务器的通信、策略配置或服务运行状态存在问题。这里有一套系统的排查思路，你可以按顺序试试看：

📋 第一步：检查客户端配置与状态

• 确认功能已启用：首先，确认iNode客户端确实勾选了“内网外联监控”功能，并且下发的策略中“检测到外联时上传日志”也已勾选。

• 检查过滤驱动：检查终端 C:\Windows\System32\drivers 目录下是否存在 iNodeLwf.sys 文件。这是内网外联功能的过滤驱动，如果缺失，功能可能无法正常工作。

🌐 第二步：验证网络与服务器连通性

• 网络可达性：在客户端上执行 ping [iMC服务器IP]，确保网络是通的。

• 端口连通性：确认iMC服务器的端口（默认是 8080 或 443）对客户端是开放的，没有被防火墙拦截。

⚙️ 第三步：核实iMC服务器配置

• 检查日志配置：登录iMC，进入 系统管理 > 日志管理 > 日志配置，确认“内网外联日志”功能已启用，并且存储策略设置正确。

• 确认策略已下发：客户端需要至少成功认证一次，才能将内网外联策略（包括离线ACL）从服务器下载到本地。如果策略未正确下发，日志也不会被记录。

🖥️ 第四步：检查DAM服务状态

日志的上传和处理依赖DAM（终端安全管理）模块。

• Windows服务器：打开“服务管理器”，查看名为 iMC DAM 或类似的服务是否正在运行。

• Linux服务器：执行 imc_dam status 命令检查服务状态。

📁 第五步：查看服务器与客户端日志

• 查看iMC后台日志：检查iMC服务器上的日志文件，排查上传失败的具体原因。

  • Windows：C:\iMC\client\logs\

  • Linux：/opt/iMC/client/logs/

• 客户端抓包分析：在客户端使用Wireshark抓包，过滤 tcp port 8080（或443），看在终端从外网回到内网后，是否有向iMC服务器发起日志上传的请求。

您好，参考

网络通吗