Diese Seite wurde von der Cloud Translation API übersetzt.

Häufige Probleme mit Linux-Weiterleitungen beheben

Unterstützt in:

Google SecOps SIEM

In diesem Dokument erfahren Sie, wie Sie häufige Probleme erkennen und beheben, die bei der Verwendung des Google Security Operations Linux-Forwarders auftreten können.

Forwarder startet nicht

Der Forwarder kann nicht gestartet werden und befindet sich in einer kontinuierlichen Neustartschleife mit dem folgenden Fehler in den Logs:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Mögliche Ursache 1: Falsche Zuordnung in der Konfigurationsdatei

Achten Sie zur Behebung dieses Problems darauf, dass Sie den richtigen Pfad zur Konfigurationsdatei übergeben und sie einem externen Ordner zuordnen.

Mögliche Ursache 2: SELinux ist aktiviert

Prüfen Sie die Konfigurationsdatei, indem Sie den Container aufrufen, ohne den Forwarder zu starten, und den folgenden Befehl ausführen:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Mit diesem Befehl gelangen Sie in eine Shell im Container.

Führen Sie dazu diesen Befehl aus:
```
ls -lrt /opt.chronicle/external/
```
Wenn Sie eine Fehlermeldung über eine verweigerte Berechtigung erhalten, kann der Forwarder die Konfigurationsdatei nicht öffnen und daher nicht gestartet werden.

So beheben Sie das Problem:

Prüfen Sie den SELinux-Status mit dem folgenden Befehl:
```
  sestatus
```
Wenn der SELinux-Status in der Ausgabe aktiviert ist, führen Sie den folgenden Befehl aus, um ihn zu deaktivieren:
```
  setenforce 0
```

Logs erreichen den Google SecOps-Mandanten nicht

Mögliche Ursache 1: DNS-Auflösung

Prüfen Sie mit dem folgenden Befehl, ob der Host Adressen nicht auflösen oder Google SecOps nicht erreichen kann:

  nslookup malachiteingestion-pa.googleapis.com

Wenn der Befehl fehlschlägt, wenden Sie sich an Ihr Netzwerkteam.

Mögliche Ursache 2: Firewall

Prüfen Sie mit dem folgenden Befehl, ob die lokale Firewall die Kommunikation zwischen Google SecOps und dem Forwarder blockiert:

  firewall-cmd --state

Wenn die Firewall aktiviert ist, deaktivieren Sie sie mit dem folgenden Befehl:

  systemctl stop firewalld

Mögliche Ursache 3: Puffergröße

Prüfen Sie, ob es sich um ein Problem mit der Puffergröße handelt, indem Sie in den Logs nach dem folgenden Fehler suchen:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

So beheben Sie das Problem:

Aktivieren Sie die Komprimierung in der Konfigurationsdatei des Forwarders.
Puffergröße erhöhen Aktualisieren Sie dazu die Parameter max_memory_buffer_bytes und max_file_buffer_bytes in der Konfigurationsdatei. Diese Parameter geben den Puffer der Backlog-Batches an, die im Arbeitsspeicher oder auf der Festplatte gespeichert sind.

Forwarder und Host empfangen keine Logs

Wenn der Host und der Forwarder keine Logs empfangen, prüfen Sie den Portstatus, indem Sie den folgenden Befehl für jeden Port ausführen:

  netstat -a | grep PORT

Ersetzen Sie PORT durch die Port-ID, die Sie prüfen möchten.

Wenn der Befehl keine Ausgabe liefert, bedeutet das, dass der Host nicht auf diesem Port wartet. Wenden Sie sich in diesem Fall an Ihren Netzwerkadministrator.

Wenn die Ausgabe des Befehls angibt, dass der Host einen Port überwacht, der Forwarder aber weiterhin keine Logs empfängt, gehen Sie so vor:

Stoppen Sie Docker mit dem folgenden Befehl:
```
docker stop cfps
```
Führen Sie je nach Netzwerkeinrichtung einen der folgenden Befehle aus.

Für TCP:
```
nc -l PORT
```
Für UDP:
```
nc -l -u PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.
Starte den externen Dienst neu und prüfe, ob das Problem behoben wurde. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google SecOps-Support.

Forwarder empfängt keine Logs, Host empfängt Logs

Wenn der Host Logs empfängt, der Forwarder jedoch nicht, bedeutet das, dass der Forwarder den in der Konfigurationsdatei angegebenen Port nicht überwacht.

So beheben Sie das Problem:

Öffnen Sie auf Ihrem System zwei Terminalfenster: eines zum Konfigurieren des Forwarders und eines zum Senden einer Testnachricht an den Host.
1. Starten Sie Docker im ersten Terminal (Forwarder), ohne den Forwarder zu starten, indem Sie den folgenden Befehl ausführen:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Geben Sie den Port an, den der Forwarder überwachen soll:
```
nc -l PORT
```
  Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.
Senden Sie im zweiten Terminal (Host) die Testnachricht über den Port, indem Sie den folgenden Befehl ausführen:
```
echo "test message" | nc localhost PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.

Führen Sie den Befehl docker noch einmal aus. Geben Sie das -p-Flag mit den Ports an, an denen der Forwarder lauschen soll, indem Sie den folgenden Befehl ausführen:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable