若Agent和Server无法连接，下面是常用检查流程。
检查网络是否连通
ping serverIP
重启server和agent
sudo /var/ossec/bin/ossec-control restart
检查rids文件夹
OSSEC依赖rids文件夹实现同步。
server端/var/ossec/queue/rids 文件夹下应该保存有每个agent ID号同名的文件。
假如有两台agent（ID分别为001、002）同时连接成功，那么文件目录应为：
root@ubuntu:/var/ossec/queue/rids# ls
001 002 sender_counter
若一直没有对应文件，那么就把server端rids文件夹清空再重启server、agent：
sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
用agent_control -l命令，查看agent列表，均已正常连接：
root@ubuntu:/var/ossec/queue/rids# sudo /var/ossec/bin/agent_control -l
OSSEC HIDS agent_control. List of available agents:
ID: 000, Name: ubuntu (server), IP: 127.0.0.1, Active/Local
ID: 001, Name: a1, IP: 172.16.252.133, Active
ID: 002, Name: winA, IP: 172.16.252.131, Active
检查log
检查ossec.log看是否有报错。
- linux：
sudo vim /var/ossec/logs/ossec.log
- win：
打开Agent Manager图形界面—菜单栏View—View Logs
ossec-remoted(1403)错误
server的log出现下面错误：
ossec-remoted(1403): ERROR: Incorrectly formatted message from '172.16.252.133'
大多是验证秘钥问题，agent key、ip等与server记录的不匹配。
解决方法：
- server端清空rids文件夹重启
sudo rm /var/ossec/queue/rids/*
sudo /var/ossec/bin/ossec-control restart
或：
- 重新生成agent，重新导入key