Wazuh Agent可一键安装并连通，前提是服务端开放1514端口、注册流程完成且Agent与Server版本一致（如均为4.8.2）；需在服务端用manage_agents生成并导出Base64密钥，Ubuntu/Debian通过APT配合WAZUH_MANAGER和WAZUH_AGENT_NAME环境变量自动注册，CentOS/RHEL则依赖RPM安装时的环境变量触发注册。
能用一键命令装完并连上，前提是服务端已开放 1514 端口、注册流程跑通、且 Agent 与 Server 版本一致（如都是 4.8.2）。版本错配或端口不通是 90% 的“装了但不在线”原因。
确认服务端已生成并导出 Agent key
这步漏掉，客户端根本没法认证。必须在服务端执行 manage_agents，选 A 添加、E 提取，拿到一串 Base64 密钥。
- 添加时
Agent name建议用有意义的标识（如web-prod-01），别用 IP 或localhost - 提取密钥后，
Agent ID是纯数字（如003），后面排查要用到 - 执行
/var/ossec/bin/agent_control -lc能看到刚加的 Agent 处于never connected状态，说明服务端准备就绪，只等客户端来连
Ubuntu/Debian 系统用 APT 一键安装 + 注册
不用手动改配置文件，靠环境变量驱动注册流程，最不容易出错。
- 先导入签名密钥：
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo gpg --dearmor -o /usr/share/keyrings/wazuh-keyring.gpg - 写入源：
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/wazuh-keyring.gpg] https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list - 安装并自动注册：
sudo WAZUH_MANAGER='192.168.134.233' WAZUH_AGENT_NAME='web-prod-01' apt-get update && sudo apt-get install -y wazuh-agent - 注意：
WAZUH_MANAGER必须填服务端真实 IP（不是localhost或127.0.0.1），且确保该 IP 能被客户端路由可达
CentOS/RHEL 系统用 RPM + 环境变量注册
RPM 包本身不带注册逻辑，全靠安装时的环境变量触发，这点和 Debian 系不同。
- 导入密钥：
rpm --import https://packages.wazuh.com/key/GPG-KEY-WAZUH - 配置源：
cat > /etc/yum.repos.d/wazuh.repo - 安装并注册：
sudo WAZUH_MANAGER='192.168.134.233' WAZUH_AGENT_NAME='web-prod-01' yum install -y wazuh-agent - 安装后检查：
sudo grep -A5 '应该能看到' /var/ossec/etc/ossec.conf 192.168.134.233 linux
启动后连不上？优先查这三件事
Agent 启动成功 ≠ 连上 Server。很多用户卡在这一步，反复重装其实没用。
- 看连接状态：
sudo /var/ossec/bin/agent_control -s—— 如果显示status: never connected，说明根本没发出去；如果显示pending，大概率是服务端 1514 端口没放行或证书不信任 - 抓包验证通信：
sudo tcpdump -i any port 1514 -nn -c 5，在客户端执行，同时在服务端systemctl restart wazuh-manager，看有没有 SYN 包到达 - 检查证书路径：
/var/ossec/etc/client.keys文件必须存在且非空，内容应为AgentID ServerIP Key三列；若为空，说明注册阶段失败，重装前先sudo rm -f /var/ossec/etc/client.keys
真正卡点往往不在安装命令本身，而在服务端网络策略是否允许 TCP 1514 入向、client.keys 是否被覆盖、以及 Agent 名称和服务端记录是否完全一致（大小写敏感）。这些细节不验证，重装十次也白搭。
