态势感知平台被动采集器显示离线

网络连通但采集器显示离线，通常意味着采集器服务本身异常或平台与采集器之间的管理心跳中断，而非简单的网络不通。建议按以下顺序排查：

 第一步：检查并重启采集器服务（最高优先级）

这是最常见的原因，采集器服务可能因异常而“假死”。

1. Web页面查看状态：登录态势感知平台，进入 系统配置 > 数据来源 > 采集器管理，确认被动采集器状态。

2. SSH登录后台重启：使用 cyber 账号SSH登录采集器主机，执行以下命令重启被动采集器服务：

   bash

   # 切换到root用户（默认密码 H3c@cyber123，若修改过以实际为准） su - root # 查看服务状态 systemctl status csap-collector-passive # 重启被动采集服务 systemctl restart csap-collector-passive

   如果上述命令无效，可尝试进入脚本目录手动重启：

   bash

   cd /data/csap-log-collector/collector/bin ./collector.sh restart

3. 验证恢复：等待2-3分钟后，返回Web页面刷新，查看采集器状态是否变为在线。

 第二步：检查系统时间同步

平台与采集器之间的时间偏差超过5分钟，会导致鉴权失败，资产被判定离线。

• 检查平台时间：在态势感知Web界面，进入 配置中心 > 系统管理 > 全局设置 > 时间管理，核对系统时间是否准确。

• 检查采集器主机时间：SSH登录后执行 date 命令，对比与平台时间是否一致。

• 解决方案：确保平台与采集器使用同一套NTP服务器，统一时间源。

 第三步：检查磁盘空间与端口占用

磁盘满或端口被占用会导致采集进程异常。

1. 检查磁盘空间：SSH登录后执行 df -h，查看磁盘利用率是否过高（如超过90%）。磁盘占满会造成采集进程异常，资产陆续离线。

2. 检查514端口占用：被动采集依赖UDP 514端口接收Syslog日志。执行以下命令检查端口是否被其他进程占用：

   bash

   netstat -ulnp | grep 514

   如有其他进程占用514端口，需结束该进程后再次重启采集服务。

 第四步：检查管理网络连通性与端口

“探针网络联通正常”通常指数据采集链路（如镜像流量）正常，但采集器还需与平台进行管理心跳通信，使用不同的端口。

• 确认管理端口：采集器与平台的管理通信默认使用 8080、18080 等端口（以实际部署为准）。

• 测试连通性：在采集器后台，使用 telnet 平台IP 8080 测试管理端口是否可达。

• 检查防火墙策略：确认采集器与平台之间没有防火墙或ACL拦截上述管理端口。

 第五步：检查License授权

被动采集模块需要有效的License授权，授权缺失会导致服务被系统禁用。

• 进入 配置中心 > 系统管理 > License管理，确认日志采集/被动采集模块的授权已导入且未过期。

 第六步：检查日志源关联

采集器服务正常后，还需确认日志源已正确关联到该被动采集器。进入 系统设置 > 日志源配置 > 采集器管理，检查日志源是否已绑定。

  被动采集器显示离线但网络 ping 可达，优先登录 CSAP 后台检查 UDP514 端口监听状态；端口未监听则重启被动采集进程collector.sh restart。确认日志源 syslog 发送目的 IP 是被动采集器采集网卡 IP，中间设备放通 UDP514；多租户场景确认采集器和日志源归属同一租户；同时核对日志源 syslog 报文源 IP 与平台日志源配置 IP 保持一致，抓包确认 CSAP 采集网卡实际收到 syslog 报文。