FAQ NRunner

Установка и обновление

1. Как установить NRunner в закрытом контуре?

Запросите у поставщика offline-комплект NRunner и перенесите его на сервер. Комплект содержит контейнерные образы, поэтому для их установки доступ к интернету не требуется.

Распакуйте архив, перейдите в каталог поставки и запустите:

sudo ./install.sh

Для локальной базы уязвимостей подготовьте дамп и его контрольную сумму. Установка контейнеров и наполнение базы — отдельные этапы: наличие работающей VulnDB не означает, что в ней уже есть данные.

Подробнее: установка в закрытом контуре.

2. Как обновить NRunner?

Скачайте новый комплект NRunner, распакуйте его в отдельный каталог и запустите входящий в него install.sh:

sudo ./install.sh

Установщик сохраняет существующие настройки и данные. Для закрытого контура используйте новый offline-комплект.

Если NRunner развёрнут вручную через Docker Compose, обновление также выполняется вручную: системный сервис обновления при таком способе установки не настраивается.

Подробнее: установка и обновление, ручное развёртывание.

3. Почему Docker не скачивает образы, хотя реестр открывается в браузере?

Настройки сети браузера и службы Docker могут различаться. Если для выхода в интернет используется прокси, настройте его для службы Docker: настройки браузера автоматически на неё не распространяются.

Проверьте доступ к реестру с сервера установки:

curl -v --connect-timeout 10 --max-time 30 https://registry.legionsecurity.ru/v2/

Затем повторите загрузку образа, указанного в ошибке:

docker pull <полное-имя-образа-из-ошибки>

Ответ UNAUTHORIZED при проверке реестра без учётных данных означает, что реестр доступен, но запрос требует авторизации. Таймаут означает, что нужно проверить соединение, прокси, маршрутизацию и правила межсетевого экрана.

Если curl работает, а docker pull завершается таймаутом, проверьте настройки сети именно службы Docker. Если доступ к реестру обеспечить невозможно, используйте offline-комплект.

База уязвимостей

4. Как наполнить локальную базу уязвимостей?

Используйте импорт дампа из файла или загрузку с центрального сервиса:

• Первоначальное наполнение VulnDB при установке.
• Наполнение и обновление уже установленной VulnDB.

5. Как подключить публичную базу и где получить API-ключ?

Порядок подключения, адрес публичной базы и контакт поддержки для получения API-ключа приведены в инструкции по настройке публичной БД.

Сканирование

6. Почему результат пентеста пустой?

Если задача завершилась, но уязвимости не найдены, сначала проверьте базу уязвимостей. При установке с вариантом empty создаётся база без данных. В этом случае NRunner не сможет сопоставить обнаруженные сервисы с известными уязвимостями.

Наполните локальную базу либо подключите публичную, затем повторите пентест.

Если база уже наполнена и подключена, проверьте остальные настройки:

1. База уязвимостей. Выбран правильный источник, подключение работает, локальная база наполнена.
2. Цели. В шаблоне указаны нужные хосты или группы.
3. Порты. Список проверяемых портов включает нужные сервисы, а исключения не убирают их из проверки.
4. Сетевая доступность. Сервер NRunner может подключаться к проверяемым сервисам.
5. Отчёт. В результатах есть обнаруженные порты и сервисы.

После исправления настроек выполните новое сканирование. Отсутствие найденных уязвимостей само по себе не подтверждает безопасность хоста.

Если порты и сервисы обнаружены, база доступна и наполнена, но результат вызывает вопросы, отправьте поддержке параметры задачи, отчёт и серверные логи за время проверки.

Подробнее: режим «Пентест».

Агенты и учётные данные

7. Где указать учётные данные для установки агента?

Откройте «Хосты → Учётные данные», добавьте запись подходящего типа и сохраните её. Затем выберите эту запись в шаблоне «Распространение агента».

Для Windows указывайте полное имя пользователя:

• DOMAIN\user или user@domain — доменная учётная запись;
• COMPUTER\user — локальная учётная запись целевого компьютера.

У пользователя должны быть права для установки и управления службой агента на целевом хосте. Проверьте фактические права и ограничения групповых политик.

Подробнее: учётные данные.

8. Как массово установить, обновить или удалить агенты?

Создайте шаблон «Распространение агента»:

1. Выберите действие: установка, обновление или удаление.
2. Укажите семейство ОС и учётные данные.
3. Выберите целевые хосты или группы.
4. Сохраните шаблон и запустите задачу.
5. Проверьте результат по каждому хосту.

Выбирайте Windows- или Linux-хосты, подходящие для выбранного действия. Не включайте принтеры и другие сетевые устройства. Если операция выполнена только на части машин, изучите ошибки остальных хостов и повторите задачу после устранения причин.

Подробнее: распространение агента.

9. Почему не устанавливается агент на Windows?

Проверьте учётные данные, права на целевом компьютере и сетевую доступность в обоих направлениях: от сервера NRunner к Windows-хосту и от Windows-хоста к серверу. Успешный ping подтверждает только доступность по ICMP и не гарантирует доступ к портам, необходимым для установки и работы агента.

Установка Windows-агента выполняется через SMB. Проверьте доступность TCP-порта 445 целевого хоста с сервера NRunner:

nc -vz -w 5 <IP-Windows-хоста> 445

Также проверьте доступ к административному ресурсу C$, права на управление службами и ограничения сетевого входа. При ERROR_ACCESS_DENIED проверьте учётную запись и права; при таймауте — маршрутизацию, ACL и межсетевые экраны.

После установки агент должен подключаться обратно к серверу NRunner. Стандартные порты:

Направление	Порт	Назначение
Целевой хост → NRunner	TCP/4000	Получение сертификата.
Целевой хост → NRunner	TCP/50051	Регистрация и работа агента.

Если при установке заданы другие порты, проверяйте их фактические значения. Адрес NRunner, передаваемый агенту, должен быть доступен из сети целевых хостов.

На целевом Windows-хосте откройте PowerShell и проверьте подключение к серверу NRunner:

Test-NetConnection -ComputerName "<IP-адрес или DNS-имя сервера NRunner>" -Port 4000
Test-NetConnection -ComputerName "<IP-адрес или DNS-имя сервера NRunner>" -Port 50051

Замените адрес в кавычках на адрес сервера, настроенный для подключения агентов. Для обеих проверок ожидается TcpTestSucceeded : True. Значение False означает, что TCP-соединение не установлено: проверьте маршрутизацию, правила межсетевых экранов и доступность соответствующего порта на сервере. Успешная проверка TCP подтверждает сетевое соединение, но не получение сертификата или регистрацию агента.

Подробнее: сетевые требования для агента.

Логи и техническая поддержка

10. Где посмотреть серверные логи?

Войдите с ролью администратора и откройте вкладку «Серверные логи» в административном разделе. Выберите источник, уровень и временной диапазон.

Для уже произошедшей ошибки выберите дату и время её возникновения. Потоковый режим показывает новые события: отсутствие записей в текущем потоке не означает, что за предыдущий период ошибок не было.

Если интерфейс логов недоступен, получите журналы серверного контейнера по инструкции ручного развёртывания.

Подробнее: просмотр серверных логов.

11. Какие сведения отправить в техническую поддержку?

Чтобы ускорить диагностику, приложите:

• Версию NRunner и способ установки.
• ОС и версию сервера; для проблем с агентом — ОС целевого хоста.
• Ожидаемый и фактический результат.
• Последовательность действий для воспроизведения.
• Полный текст ошибки и скриншот.
• Время ошибки и часовой пояс.
• Фрагмент логов за соответствующий период.
• Для сетевых проблем — направление подключения, порт и сведения об использовании прокси.