【原创分享挑战】EDR异常重启导致所有终端接入异常

【事件背景】：接到客户反馈，EDR上所有终端显示离线，导致无法下发策略，需要排查原因

跟客户沟通后发现，起因为周末有过一次异常断电，通电后发现该问题

客户的EDR平台为运行在服务器上的一台虚拟机

【处理过程】

1、首先确认终端到EDR平台的TCP443、8083 、 54120端口是否可通，发现终端与EDR平台无法通讯，初步判断为网络问题导致。

2、使用 agent_check.rar 脚本一键检测ipc_proxy和eps_agent等进程是否正常运行，或者进程管理器查看ipc_proxy和eps_agent进程是否正常运行。进程运行正常。

3、排除IP冲突导致，通过核心交换机查询ARP，与平台实际MAC地址一致

4、进入搭载EDR平台的物理服务器，发现可以登录EDR控制台，既同网段是可以通讯的，查看Web控制台的网卡信息，路由信息，没有发现异常，默认路由也存在。考虑有可能路由失效，准备将默认路由删除后重新添加，发现无法添加，也无报错提示。

5、进入后台，通过ip route get +IP，确认设备路由走向，发现下一跳为10.251.251.251默认ip

6、查看网卡配置信息，发现eth1口业务地址的网关没有了，eth0口出现了10.251.251.251的网关。

7、通过vim编辑器，修改eth1口网卡信息，新增网关信息，将eth0口的网关去掉。

8、通过systemctl restart network重启下网络服务后，平台IP正常，查看终端上线情况，已经逐步开始上线

【总结】

1、EDR服务端异常重启，可能会导致网卡信息异常导致出现网络问题。

2、异常重启后，可能出现Web界面的路由信息显示正常，实际上路由信息已经失效。