故障排查

在本页搜索你看到的那条提示的原文（Ctrl + F，Mac 上是 ⌘ + F）：大多数条目都是从面板、邮件、安装脚本或日志里的提示出发的。一般性的问题见常见问题。这里都没能解决的话，见获取帮助。

日志（journalctl）始终是英文；面板、邮件、安装脚本和 3rmonitor 命令里的提示，有翻译的会按你的语言显示。

先检查这些Copy Anchor Link

下面这些命令能回答大多数问题。在相关的服务器上执行：

3rmonitor status                       # 安装模式与守护进程状态
3rmonitor version                      # 已安装的版本
journalctl -u 3rmonitor-master -n 50   # 主控日志的最后几行（在主控上）
journalctl -u 3rmonitor-agent -n 50    # 被控日志的最后几行（在被控服务器上）
journalctl -u 3rmonitor-helper -n 50   # 被控的 root 助手日志的最后几行
sudo 3rmonitor agent --test            # 被控上报一次并显示结果

提示会出现在这些地方：

很多问题在新版本里已经修好了：先看看 系统 → 软件更新。

安装Copy Anchor Link

安装命令执行失败Copy Anchor Link

“下载失败：请确认能访问主控、密钥正确，且主控是用完整发布包安装的”表示以下三种情况之一：

• 这台服务器访问不到面板地址（用 curl -I 测试），或者 设置 → 常规 中的 面板对外地址 是这台服务器访问不到的地址（例如另一个网络里的内网 IP）；
• 密钥或绑定密钥已经失效：从 服务器 页重新复制命令；
• 主控上没有被控程序包。这时 服务器 页面会提示“主控的 dist 目录里没有被控程序包”。请用完整的发布包重新安装主控：在解压后的发布包目录中执行 sudo bash install.sh upgrade。

想知道是哪一种，自己试一下下载：curl -v "主控地址/dl/SHA256SUMS?t=密钥"。返回 401 是密钥不对；404 是主控上没有被控程序包。

安装脚本的其他提示（✗ 表示停止或失败，! 是警告；两种都会在最后的汇总里再列一次）：

sudo 提示 command not foundCopy Anchor Link

在 AlmaLinux、Rocky、RHEL 和 CentOS 上，sudo 只搜索 /usr/sbin 和 /usr/bin。1.1.1 之前 3rmonitor 命令只在 /usr/local/bin 里，所以 sudo 3rmonitor … 会回答 sudo: 3rmonitor: command not found。从 1.1.1 起命令也链接到了 /usr/bin：升级以后，服务器会自己加上这个链接。在那之前可以：

• 用 sudo -i 进入 root 终端，在里面不加 sudo 执行命令；或者
• 写完整路径：sudo /usr/local/bin/3rmonitor status。

命令行Copy Anchor Link

命令提示“Error”Copy Anchor Link

大多数 3rmonitor 命令需要 root。不加 sudo 时，有的会失败，有的给出的结果会让人误解：

3rmonitor status 不显示助手：用 systemctl status 3rmonitor-helper 查看。

“approvers trust”没有信任钥匙Copy Anchor Link

面板Copy Anchor Link

面板打不开Copy Anchor Link

1. 主控在运行吗？执行 sudo systemctl status 3rmonitor-master。如果没有运行，日志（journalctl -u 3rmonitor-master -n 50）会说明原因，例如端口已被占用，或者读不了证书文件。
2. 端口放行了吗？安装脚本会在 ufw 或 firewalld 中放行端口，但云服务商往往在服务器前面还有自己的防火墙（安全组）。在那里也放行 8899 端口（或你设置的端口）。
3. 是不是只监听了 127.0.0.1？如果 /etc/3rmonitor/master.conf 中的 listen 是 127.0.0.1:8899，面板只能通过反向代理（你的域名）访问，不能用 IP 访问。
4. 通过域名访问时：检查 Nginx 或 Apache 是否在运行，以及域名是否解析到了主控。

页面显示“页面没能加载出来”Copy Anchor Link

浏览器没能从主控取到这个页面的数据：连接断了、主控重启了（例如正在更新），或者中间的反向代理出了问题。角落里弹出的提示写着具体错误。点 重试。一直这样的话，检查主控是否在运行并看它的日志；经过 Nginx 或 Apache 时，也看看代理的错误日志。

忘记密码Copy Anchor Link

在主控上执行 sudo 3rmonitor user passwd 用户名，然后输入新密码。sudo 3rmonitor user list 可以查看用户名。

15 分钟内同一用户失败超过 5 次，或同一 IP 失败超过 10 次，登录会被锁定：“登录失败次数过多，请 15 分钟后再试”。在这期间，密码正确也会被拒绝。等一等，或者重启主控（sudo systemctl restart 3rmonitor-master），计数就清零了。

反向代理不在同一台机器、不在内网、也不是 Cloudflare 时，所有访客看起来都来自代理的 IP，几次失败就会把所有人都锁在外面。如果面板只能通过这个代理访问，在 master.conf 里设置 trust_proxy = true（见配置文件）。

面板里的其他提示Copy Anchor Link

登录后又回到登录页Copy Anchor Link

1.0.4 之前的版本中，面板地址是 https:// 但页面用 http:// 打开（例如用 IP 访问）时会出现这个问题。请升级到最新版本。另外检查浏览器是否允许面板地址使用 Cookie。

浏览器提示“不安全”Copy Anchor Link

面板是通过 http:// 提供的。请配置 HTTPS。

被控与服务器Copy Anchor Link

被控不上报Copy Anchor Link

在被控服务器上执行：

sudo 3rmonitor agent --test

它会上报一次并显示结果。然后对照下表：

被控日志（journalctl -u 3rmonitor-agent）里的 “Report failed (attempt N): …” 写着原因；第 1 次失败时写一次，之后每 20 次写一次。“connection refused” 表示那个地址和端口上没有程序在监听，或者被防火墙拒绝；“i/o timeout” 或 “Client.Timeout exceeded” 表示防火墙把连接悄悄丢掉了。出现 “Connection to the master restored” 就说明恢复了。

不上报、只查看被控采集到的内容：sudo 3rmonitor agent --print。

所有服务器同时显示离线Copy Anchor Link

如果 3 台以上服务器在同一时刻停止上报，你会收到一封“全部 N 台服务器同时停止上报”的告警。服务器本身几乎肯定没事，是主控收不到上报。请检查主控的网络、防火墙（以及服务商的防火墙）、反向代理和证书，以及面板地址或 DNS 记录是否改过。

两台服务器显示同样的数据Copy Anchor Link

面板上一台服务器的数据在两台机器之间来回跳，或者日志里有 “Reporting too often”：两台机器在用同一个密钥。这是克隆服务器（虚拟机模板或快照）时连同 /etc/3rmonitor/agent.conf 一起复制了。把复制出来的那台登记成一台新服务器（服务器 → ＋ 添加服务器），然后在它上面执行面板给出的 bind 命令：

sudo 3rmonitor bind --master 'https://monitor.example.com' --token '新密钥'

做模板之前先卸载被控，或者让每台机器启动时用绑定密钥安装（例如用 cloud-init）。

服务器页面显示“3R Monitor 助手没有运行”Copy Anchor Link

被控以普通用户运行，需要 root 的事情交给 3rmonitor-helper 去做。助手不在时，被控照样监控，但 AI、黑白名单和一部分数据（端口对应的进程、MySQL 状态）在这台服务器上用不了。

sudo systemctl restart 3rmonitor-helper
journalctl -u 3rmonitor-helper -n 50

如果启动不了，或者页面上显示“被控仍以 root 运行……”或“没能把被控改成普通用户运行：……”，执行 sudo 3rmonitor agent secure 并看它的回答：例如 “neither useradd nor adduser is available”（安装 passwd 或 shadow-utils 软件包），或者 “the helper did not start (…)”。需要 systemd。

被控一直停留在旧版本Copy Anchor Link

被控会自动更新到主控的版本。某个被控没有更新时：

• 它连不上主控（见被控不上报）；
• 它的 agent.conf 中设置了 auto_update = false；
• 从 1.1.1 起，被控只安装 3R Soft 签过名的程序。如果 系统 → 被控程序包 显示 没有签名，说明主控不是用官方发布包安装或升级的：用官方发布包执行 sudo bash install.sh upgrade。这时被控日志会写 “Automatic update failed: the master has no signature for the agent packages…” 或 “…are not signed for …”。

也可以用发布包手动升级被控：在发布包目录里执行 sudo bash install.sh upgrade。

流量用量看起来不对Copy Anchor Link

• 从最近某天才开始有数据：主控升级到 1.1.1 那天才开始统计（“从某天开始统计”）。
• “被控没有单独上报 … 的流量”：你在 服务器 → 设置 → 流量用量 里选了一块网卡，但被控早于 1.1.1，或者这块网卡已经不在了，所以按全部网卡计算。等被控更新，或者换一块网卡。
• 和服务商的数字对不上：见流量用量。只算服务商计费的那块网卡，选对额度的计算方式（下行、上行、合计或较大的一方），另外这里 1 GB 是 1024³ 字节。
• 少了某一天：那天被控没有上报（服务器或被控停了）。那段时间的流量会算在它重新上报的那一天，除非中间服务器重启过。

服务器在地图上的位置不对Copy Anchor Link

在 服务器 → 设置 → 地图位置 中设置它的位置。主控自己的位置在 设置 → 地图 中设置。见服务器位置。

MySQL / MariaDB 显示“无法登录数据库”Copy Anchor Link

被控无法登录数据库读取运行状态。见被控的 MySQL 凭据。另外：

• “未找到 mysql 客户端，无法读取运行状态”：在那台服务器上安装 mysql 或 mariadb 客户端。
• 在 Debian 和 Ubuntu 上，只有助手在运行时才会用 /etc/mysql/debian.cnf，见助手没有运行。
• “Redis 设置了密码，未读取运行状态”：只是提示，Redis 本身仍作为服务被监控。

看不懂的服务告警Copy Anchor Link

告警与邮件Copy Anchor Link

收不到告警邮件Copy Anchor Link

1. 打开 系统 → 最近邮件：每封邮件都显示是已发送、重试中还是已放弃，以及错误信息。
2. 发一封测试邮件：设置 → SMTP 发信 → 发送测试邮件，或者在主控上执行 sudo 3rmonitor mail-test --to you@example.com。
3. 常见原因：
   • Gmail 需要使用应用专用密码，而不是平时的密码。
   • 很多云服务商屏蔽了出站 25 端口。请使用 465（SSL）或 587（STARTTLS）。
   • 加密方式与端口不匹配：SSL 对应 465，STARTTLS 对应 587。
   • 服务器在设置中关闭了 启用告警，或者在 设置 → 告警通知 → 以下情况发邮件通知 中关闭了这类告警。
   • 邮件进了垃圾箱。把 发件人地址 设为 SMTP 服务器允许代发的域名下的地址。
   • 系统 页面显示 告警收件人：未设置：没有收件人就什么都不发，只有主控日志里会写一行。

失败邮件的错误，在测试结果或 系统 → 最近邮件 里：

发送失败的邮件最多重试 12 次，间隔越来越长（总共大约 6 小时），之后标为 放弃。

告警邮件来得晚Copy Anchor Link

这通常是有意为之：

• 告警会合并发送：第一封在 1 分钟后发出，之后每 5 分钟最多一封。把 设置 → 告警通知 → 合并告警邮件（分钟） 设为 0，每条告警都会立即发送。
• 开启 AI 分析后，关于新故障的邮件最多会再等两分钟左右，等待可能原因的分析。
• 超过 每小时最多发几封邮件（默认 10 封）后，邮件会在发件队列里等待。系统 页面显示排队的数量。

AI 发现了问题，却没发邮件给我Copy Anchor Link

AI 只把需要你处理的事发邮件，而且每天最多 AI 分析 → 设置 → AI 邮件 → 每天最多几封（默认 5 封）。每次处理的时间线上都写明发没发邮件、为什么没发：

你交给 AI 的任务从来不发邮件。系统告警（服务器、服务、监控、证书、磁盘、流量额度）不受这个影响。见 AI 发的邮件。

网站监控Copy Anchor Link

网站监控显示故障，但网站正常Copy Anchor Link

检测是从主控发起的，所以关键是主控看到了什么。请在主控上自己试一下：

curl -sv -o /dev/null https://example.com/health

• HTTP 403，可能被 Cloudflare 质询拦截：在 Cloudflare 或你的 WAF 中放行主控的 IP。
• 期望 200 却得到 HTTP 301/302：默认会跟随重定向；如果勾选了 不跟随重定向，把这个状态码加到 期望状态码 中（例如 200,301）。
• “页面中没有找到……”：关键字区分大小写，而且只读取响应的前 2 MB。
• 超时：如果接口本身很慢，调大 超时（秒）；否则检查主控能否访问它（防火墙、IPv6、DNS）。
• 证书错误：证书已过期或证书链不完整。自签名证书请勾选 不校验证书。

在监控项表单里点 测试 可以看到确切的信息。各条信息的含义：

Ping 监控项一直显示故障Copy Anchor Link

Ping 使用 ICMP，很多网络和云服务商会屏蔽它。如果主控和目标主机之间屏蔽了 ICMP，请改用 TCP 端口 检测（例如 主机:22 或 主机:443）。主控上还需要有 ping 命令；没有时会报告“系统里没有 ping 命令”。

每次检测只发一个包，ping 的任何失败都显示为“无响应（丢包）”，包括主控没有权限发送 ICMP 的情况。在主控上用 ping -c 1 主机 试一下。

访问统计与黑白名单Copy Anchor Link

没有访问统计数据Copy Anchor Link

• 被控会读取常见位置的 Apache 和 Nginx 访问日志。如果你的日志在其他位置，在 /etc/3rmonitor/agent.conf 中设置 access_logs（例如 access_logs = /data/logs/*.access.log），然后重启被控。
• 从 1.1.0 起，被控以非特权用户 3rmonitor-agent 运行，安装脚本会用 setfacl 给它读取日志的权限。如果缺少 acl 软件包，被控日志会显示 “The agent (user 3rmonitor-agent) cannot read the access logs in …”（被控读不了访问日志）：安装 acl，然后再执行一次 sudo 3rmonitor agent secure。把 access_logs 改到新位置之后也要这样做。
• access_logs 会替换常见位置，而不是追加：要列出所有需要的位置。
• 轮转和压缩过的日志（access.log.1、access_log-20261020、.gz）以及错误日志会有意跳过。
• access_logs = off 会关闭统计。
• 国家信息需要 IP 国家库。系统 页面显示它是否已加载以及最近一次更新的时间。
• 网站在 Cloudflare 后面时，在源站恢复真实 IP 之前，所有请求都来自 Cloudflare。见 Cloudflare 使用提示。

黑名单没有生效Copy Anchor Link

添加规则时，面板会拒绝有害的规则：

被黑名单锁在外面Copy Anchor Link

在服务器的控制台上（如果 SSH 被拦截，使用服务商的网页控制台）执行：

sudo 3rmonitor firewall off

拦截规则立即清除。在 访问统计 → 黑白名单 中修正规则，然后执行 sudo 3rmonitor firewall on。以后为了避免这种情况，把 黑名单只拦截这些端口 设为 80,443。

从 1.1.1 起，国家规则和大于 /24 的网段永远不拦 SSH 端口，所以只有针对你自己 IP 或它所在小网段的规则，才可能让你连不上 SSH。

被拦截的国家还能连 SSHCopy Anchor Link

这是 1.1.1 起有意的设计：国家规则和大网段拦截除 SSH 以外的所有端口，保证你总能连回来。要不让某个攻击者连 SSH，拦截它的单个 IP 或小网段（/24 及以内）。见防止把自己锁在外面。

漏洞Copy Anchor Link

服务器没有显示漏洞，或者没有被检查Copy Anchor Link

安全 页面顶部会写原因：

数据来源和匹配方式 显示每个来源最近一次更新的时间。那里显示“失败：……”，说明主控连不上它：主控需要能通过 HTTPS 访问 api.osv.dev、services.nvd.nist.gov、www.cisa.gov、endoflife.date、cveawg.mitre.org、raw.githubusercontent.com 和 github.com。“NVD: HTTP 403” 或 “429” 表示 NVD 在限制请求：在 设置 → 漏洞检查 中填一个免费的 NVD API 密钥。

修复过的漏洞还在列表里Copy Anchor Link

• 软件变化时被控会上传新的软件清单，每 6 小时还会全部重新检查一次。在 安全 页面点 立即检查 可以马上检查。
• 要升级的是“实际安装：……”里的软件包，而不是标题里的源码包名：例如 perl-base，而不是 perl。
• “什么都没有升级：配置的软件源里没有更新的版本……”：发行版还没有发布修复，或者服务器的软件源过时了。勾选 隐藏暂无修复版本的 可以隐藏这类漏洞，或者 忽略 这一条并写明原因。
• 服务要重启才会用上新版本时，运行中的可能还是旧版本：重启它。

AICopy Anchor Link

AI 不在某台服务器上执行任何操作Copy Anchor Link

AI 分析 → 值守 → AI 能做的事受限的服务器，以及服务器 系统 标签页中的 被控 一行，会说明原因。按顺序检查：

模型测试失败，或者报告生成失败Copy Anchor Link

错误显示在 测试 的提示里、报告上（“报告生成失败：……”），或者处理记录里（“模型出错：……”）：

处理中途停止，或者 AI 只给出修复建议Copy Anchor Link

服务器自己拒绝某个操作时，操作上会写原因：

修复被拒绝：“这台服务器上的限制”Copy Anchor Link

从 1.1.1 起，每台服务器自己限制只经过 AI 审查员批准的修复：

• “这台服务器上的限制：这个修复最近 1 小时已经执行了 3 次”：同一个修复反复出现，说明原因在别处。看一下这次处理，自己把根本原因解决掉。
• “这台服务器上的限制：最近 24 小时已经自动修复了 N 次（agent.conf 里的 ai_auto_per_day）”：真的需要更多的话，调大那台服务器 agent.conf 里的 ai_auto_per_day，或者由你来批准这个修复：你批准的修复不受这个限制。

“这个对话已经关闭”Copy Anchor Link

任务的对话在 AI 最后一次回复后 24 小时内可以接着进行。提示里写着关闭的原因（处理被停止了、到了上限、模型出错了……）：请交给 AI 一个新任务。见接着对话。

通行密钥Copy Anchor Link

无法添加通行密钥，或批准失败Copy Anchor Link

• 通行密钥需要通过 HTTPS（或 localhost）打开面板：面板是 http:// 时，＋ 添加通行密钥 按钮不可用。请用 https:// 地址打开面板。见 HTTPS。
• “这个浏览器不支持通行密钥”或“不能注册通行密钥”：请使用较新的 Chrome、Edge、Safari 或 Firefox。
• “通行密钥请求被取消或超时”：重试，并在两分钟内确认。
• 通行密钥只能在创建它时所用的主机名下使用。请用同一个地址打开面板。
• 新的通行密钥会一直显示 等待签名，直到一位拥有已信任通行密钥的管理员确认它。
• “批准用的通行密钥不被这台服务器信任”：在那台服务器上执行 sudo 3rmonitor approvers trust。
• 一次批准的有效期为一小时。超过之后，这项操作会标为 已到期。
• “批准要用通行密钥签名。请先在 设置 → 通行密钥 里添加一把”：你还没有通行密钥。
• “请用通行密钥签名批准（请求已过期或操作有变化）；请重试”：请求的有效期是 5 分钟。
• “请用你自己的、已被信任的通行密钥签名”：你用的通行密钥还在 等待签名，或者是别人的。
• “浏览器的回应和请求不一致”：打开面板用的地址不是它自己的地址。请用面板对外地址打开。
• “这把通行密钥已经注册过了”：这台设备已经有这个面板的通行密钥了。
• 添加第一把通行密钥以后，设置 → 通行密钥 显示“还没有信任：在服务器上执行 sudo 3rmonitor approvers trust 并核对指纹”：每台服务器都要信任它一次，包括你有通行密钥之前装好的服务器。
• 如果所有通行密钥都丢失了，见通行密钥。

服务器一直显示“正在取最新的记录……”Copy Anchor Link

从 1.1.1 起，服务器几秒内就会用上新的通行密钥记录，期间 设置 → 通行密钥 会自己刷新。如果某台服务器一直停在这里，说明它的被控连不上主控，或者助手没有运行：在那台服务器上看一下 systemctl status 3rmonitor-helper 和 journalctl -u 3rmonitor-helper -n 50。

更新Copy Anchor Link

更新下载了，但没有安装Copy Anchor Link

从 1.1.1 起，你确认之前什么都不会装。系统 → 软件更新 上写着“x.y.z 已经下载并核对了签名，你确认以后才会安装。”：点 现在安装… 或 安装。“这个版本还没下载，请先下载”表示下载的文件不在了，或者又发布了更新的版本：再点一次 立即更新。

在面板里更新失败Copy Anchor Link

系统 → 软件更新 卡片会显示错误和安装程序的输出。你随时可以用新的发布包执行 sudo bash install.sh upgrade 手动升级。

升级后主控起不来Copy Anchor Link

从 1.1.1 起，install.sh 会让主控在更严格的 systemd 隔离里运行。少数不支持的系统（某些 LXC 容器）上，安装脚本会自动去掉它，并提示“这台机器不支持主控的额外隔离……”。如果主控还是起不来，看一下 journalctl -u 3rmonitor-master -n 50，并手动去掉隔离：

sudo rm -r /etc/systemd/system/3rmonitor-master.service.d
sudo systemctl daemon-reload && sudo systemctl restart 3rmonitor-master

获取帮助Copy Anchor Link

如果本页和常见问题都没能解决：

1. 升级到最新版本（系统 → 软件更新）：问题可能已经修好了。
2. 发邮件到 info@3rsoft.com.pa。 在面板里点 系统 → 帮助与支持 → 遇到问题或 bug，会打开一封标题里带着你的版本号的邮件。

为了第一次回信就能解决，请写上：

• 你做了什么、期望看到什么、实际发生了什么，附上提示的原文或截图；

• 在相关服务器（主控或被控服务器）上执行这些命令的输出：

  Copy Text

  3rmonitor version
  3rmonitor status
  cat /etc/os-release
  journalctl -u 3rmonitor-master -n 100 --no-pager   # 在主控上
  journalctl -u 3rmonitor-agent -n 100 --no-pager    # 在被控服务器上
  journalctl -u 3rmonitor-helper -n 100 --no-pager   # 在被控服务器上
  sudo 3rmonitor agent --test                        # 在被控服务器上

• 安装问题的话，安装脚本的完整输出。

不要发 agent.conf、master.conf、密钥、绑定密钥、密码或 API 密钥：3R Soft 不需要这些。复制的内容里如果有，请换成 …。

安全问题请私下报告到 security@3rsoft.com.pa，不要发到普通地址。见报告安全问题。