Windows での NSX ゲストイントロスペクションプラットフォームのシンエージェントログ

シンエージェントは、仮想マシンのゲスト OS にインストールされ、ユーザーアクティビティの詳細を検出します。

ログのパスとサンプルメッセージ

シンエージェントは、ゲストイントロスペクションドライバの vsepflt.sys と vnetwfp.sys（Windows 10 以降）で構成されます。

シンエージェントのログは、vCenter Server のログバンドルの一部として、ESXi ホストに保存されます。ログのパスは、/vmfs/volumes/<datastore>/<vmname>/vmware.log です。例：　 /vmfs/volumes/5978d759-56c31014-53b6-1866abaace386/Windows10-(64-bit)/vmware.log

シンエージェントのメッセージは、<timestamp> <VM Name><Process Name><[PID]>: <message> の形式で記録されます。

以下の Guest: vnet or Guest:vsep のログの例では、ゲストイントロスペクションドライバ関連のログメッセージの後にデバッグメッセージが続きます。

次はその例です。

2017-10-17T14:25:19.877Z| vcpu-0| I125: Guest: vnet: AUDIT: DriverEntry :
 vnetFilter build-4325502 loaded
2017-10-17T14:25:20.282Z| vcpu-0| I125: Guest: vsep: 
AUDIT: VFileSocketMgrConnectHelper : Mux is connected
2017-10-17T14:25:20.375Z| vcpu-0| I125: 
Guest: vsep: AUDIT: DriverEntry : vfileFilter build-4286645 loaded
 
2017-10-17T18:22:35.924Z| vcpu-0| I125: Guest: vsep: AUDIT: 
VFileSocketMgrConnectHelper : Mux is connected
2017-10-17T18:24:05.258Z| vcpu-0| I125: Guest: vsep: AUDIT: 
VFileFltPostOpCreate : File (\Windows\System32\Tasks\Microsoft\Windows\
SoftwareProtectionPlatform\SvcRestartTask) in a transaction, ignore

NSX ゲストイントロスペクションプラットフォームシンエージェントドライバログの有効化

デバッグを設定すると、vmware.log ファイルがいっぱいになり、調整（スロットル）が行われる可能性があります。このため、必要な情報をすべて収集したらすぐにデバッグモードを無効にすることをお勧めします。

この手順では、Windows レジストリを変更する必要があります。レジストリを変更する前に、レジストリのバックアップを行ってください。レジストリのバックアップとリストアの詳細については、Microsoft 社のナレッジベースの記事 136393 を参照してください。

[スタート] > [ファイル名を指定して実行] の順にクリックします。regedit と入力して、[OK] をクリックします。レジストリエディターのウィンドウが開きます。詳細については、Microsoft 社のナレッジベースの記事 256986 を参照してください。
レジストリエディターで HKEY_LOCAL_Machine\SYSTEM\CurrentControlSet\services\vsepflt\parameters キーを作成します。
新しく作成したパラメータキーの下に、次の DWORD を作成します。これらの値を入力するときに、16 進数が選択されていることを確認します。
```
Name: log_dest
Type: DWORD
Value: 0x2

Name: log_level
Type: DWORD
Value: 0x10
```
log level パラメータキーの他の値：
```
Audit 0x1
Error 0x2
Warn 0x4
Info 0x8
Debug 0x10
```
管理者としてコマンドプロンプトを開きます。次のコマンドを実行して、NSX Endpoint ファイルシステムミニドライバをアンロードし、再ロードします。
- fltmc unload vsepflt
- fltmc load vsepflt
仮想マシンにある vmware.log ファイルでログエントリを確認できます。

NSX ゲストイントロスペクションプラットフォームドライバログの有効化

デバッグを設定すると、vmware.log ファイルがいっぱいになり、調整が行われる可能性があります。このため、必要な情報をすべて収集したらすぐにデバッグモードを無効にすることをお勧めします。

[スタート] > [ファイル名を指定して実行] の順にクリックします。regedit と入力して、[OK] をクリックします。レジストリエディターのウィンドウが開きます。詳細については、Microsoft 社のナレッジベースの記事 256986 を参照してください。

レジストリを編集します。

Windows Registry Editor Version 5.0 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vnetwfp\Parameters] 
"log_level" = DWORD: 0x0000001F
"log_dest"  = DWORD: 0x00000001

仮想マシンを再起動します。

vsepflt.sys ログファイルの場所

レジストリで log_dest が DWORD: 0x00000001 に設定されているため、エンドポイントシンエージェントドライバのログがデバッガに出力されます。デバッガ（SysInternals の DbgView または windbg）を実行します。

あるいは、レジストリで log_dest を DWORD:0x000000002 に設定することもできます。この場合、ドライバログは vmware.log に出力されます。このファイルは、ESXi ホストの該当する仮想マシンのフォルダに保存されます。

UMC のログ作成を有効にする

エンドポイント保護ユーザーモードコンポーネント (UMC) は、保護対象の仮想マシンの VMware Tools サービス内で実行されます。

Windows XP または Windows Server 2003 で、C:\Documents and Settings\All Users\Application Data\VMware\VMware Tools\tools.conf に　tools config ファイルが見つからない場合、このファイルを作成します。
Windows Vista、Windows 7 または Windows Server 2008 で、C:\ProgramData\VMWare\VMware Tools\tools.conf に　tools config が見つからない場合、このファイルを作成します。
次の行を tools.conf ファイルに追加して、ユーザーモードコンポーネントのロギングを有効にします。
```
[logging]
log = true
vsep.level = debug
vsep.handler = vmx
```
vsep.handler = vmx が設定されているため、ユーザーモードコンポーネントのログは vmware.log に出力されます。このファイルは、ESXi ホストで該当する仮想マシンのフォルダにあります。

次の設定を行うと、指定したログファイルにユーザーモードコンポーネントのログが出力されます。
```
vsep.handler = file
vsep.data = c:/path/to/vsep.log
```

Windows でのシンエージェントのトラブルシューティング

関連するすべてのコンポーネントの互換性を確認します。ESXi、vCenter Server、NSX Manager、選択したセキュリティソリューション（Trend Micro、McAfee、Kaspersky、Symantec など）のビルド番号が必要です。このデータを収集して、vSphere コンポーネントの互換性を比較します。詳細については、VMware 製品互換性マトリクスを参照してください。
VMware Tools™ が最新であることを確認します。特定の仮想マシンのみが影響を受ける場合は、Installing and upgrading VMware Tools in vSphere (2004754)を参照してください。
PowerShell コマンド fltmc を実行して、シンエージェントがロードされていることを確認します。
ドライバのリストに vsepflt があることを確認します。ドライバがロードされていない場合は、fltmc load vsepflt コマンドを実行してドライバをロードします。
シンエージェントが原因でシステムのパフォーマンスに問題が発生している場合は、fltmc unload vsepflt コマンドを実行してドライバをアンロードします。
次に、テストを実行して、ベースラインを取得します。ドライバをロードし、次のコマンドを実行して、別のテストを実行します。

fltmc load vsepflt。

シンエージェントにパフォーマンスの問題があるかどうか確認する方法については、Slow VMs after upgrading VMware tools in NSX and vCloud Networking and Security (2144236)を参照してください。
ネットワークイントロスペクションを使用していない場合は、このドライバを削除するか、無効にします。
VMware Tools インストーラの変更メニューでもネットワークイントロスペクションを削除できます。
1. VMware Tools インストーラをマウントします。
2. [コントロールパネル] > [プログラムと機能] の順に移動します。
3. 右クリックして、[VMware Tools] > [変更] の順に選択します。
4. [完全インストール] を選択します。
5. NSX ファイルイントロスペクションを検索します。これには、ネットワークイントロスペクションのサブフォルダが含まれます。
6. [ネットワークイントロスペクション] を無効にします。
7. 仮想マシンを再起動して、ドライバのアンインストールを完了します。
シンエージェントのデバッグログを有効にします。すべてのデバッグ情報がその仮想マシンの vmware.log ファイルに記録されます。
procmon ログを確認して、シンエージェントのファイルスキャンを確認します。詳細については、Troubleshooting vShield Endpoint performance issues with anti-virus software (2094239)を参照してください。

Windows でのシンエージェントのクラッシュのトラブルシューティング

シンエージェントがクラッシュすると、/directory にコアファイルが生成されます。location/directory からコアダンプファイル (コア) を収集します。

ログのパスとサンプル メッセージ

NSX ゲスト イントロスペクション プラットフォーム シン エージェント ドライバ ログの有効化

NSX ゲスト イントロスペクション プラットフォーム ドライバ ログの有効化

vsepflt.sys ログ ファイルの場所