Diese Seite wurde von der Cloud Translation API übersetzt.

Häufige Probleme mit Linux-Weiterleitungen beheben

Unterstützt in:

Google SecOps SIEM

In diesem Dokument erfahren Sie, wie Sie häufige Probleme bei der Verwendung des Linux-Weiterleitungstools von Google Security Operations erkennen und beheben.

Weiterleitung wird nicht gestartet

Der Forwarder kann nicht gestartet werden und befindet sich in einer ständigen Neustartschleife. In den Protokollen wird der folgende Fehler ausgegeben:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Mögliche Ursache 1: Falsche Zuordnung in der Konfigurationsdatei

Um dieses Problem zu beheben, müssen Sie den richtigen Pfad zur Konfigurationsdatei übergeben und sie einem externen Ordner zuordnen.

Mögliche Ursache 2: SELinux ist aktiviert

Prüfen Sie die Konfigurationsdatei, indem Sie den Container aufrufen, ohne den Forwarder zu starten, und den folgenden Befehl ausführen:
```
docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_
```
Mit diesem Befehl wird eine Shell innerhalb des Containers gestartet.
Führen Sie dazu diesen Befehl aus:
```
ls -lrt /opt.chronicle/external/
```
Wenn Sie die Fehlermeldung „Berechtigung verweigert“ erhalten, kann der Weiterleiter die Konfigurationsdatei nicht öffnen und daher nicht gestartet werden.

So beheben Sie das Problem:

Prüfen Sie den SELinux-Status mit dem folgenden Befehl:
```
  sestatus
```
Wenn der SELinux-Status in der Ausgabe aktiviert ist, führen Sie den folgenden Befehl aus, um ihn zu deaktivieren:
```
  setenforce 0
```

Protokolle erreichen den Google Security Operations-Tenant nicht

Mögliche Ursache 1: DNS-Auflösung

Prüfen Sie mit dem folgenden Befehl, ob der Host keine Adressen auflösen oder Google Security Operations nicht erreichen kann:

  nslookup malachiteingestion-pa.googleapis.com

Wenn der Befehl fehlschlägt, wenden Sie sich an Ihr Netzwerkteam.

Mögliche Ursache 2: Firewall

Prüfen Sie mit dem folgenden Befehl, ob die lokale Firewall die Kommunikation zwischen Google Security Operations und dem Weiterleiter blockiert:

  firewall-cmd --state

Wenn die Firewall aktiviert ist, deaktivieren Sie sie mit dem folgenden Befehl:

  systemctl stop firewalld

Mögliche Ursache 3: Puffergröße

Prüfen Sie, ob es sich um ein Problem mit der Puffergröße handelt, indem Sie in den Protokollen nach dem folgenden Fehler suchen:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

So beheben Sie das Problem:

Aktivieren Sie die Komprimierung in der Konfigurationsdatei des Brokers.
Erhöhen Sie die Puffergröße, indem Sie die Parameter max_memory_buffer_bytes und max_file_buffer_bytes in der Konfigurationsdatei aktualisieren. Diese Parameter geben den Puffer der Backlog-Batches an, die im Arbeitsspeicher oder auf dem Laufwerk gespeichert sind.

Weiterleitungsserver und Host empfangen keine Protokolle

Wenn der Host und der Weiterleiter keine Protokolle erhalten, prüfen Sie den Portstatus, indem Sie für jeden Port den folgenden Befehl ausführen:

  netstat -a | grep PORT

Ersetzen Sie PORT durch die Port-ID, die Sie prüfen möchten.

Wenn der Befehl keine Ausgabe liefert, prüft der Host nicht auf diesen Port. Wenden Sie sich in diesem Fall an Ihren Netzwerkadministrator.

Wenn die Ausgabe des Befehls anzeigt, dass der Host einen Port überwacht, der Forwarder aber immer noch keine Protokolle empfängt, gehen Sie so vor:

Führen Sie den folgenden Befehl aus, um Docker zu beenden:
```
docker stop cfps
```
Führen Sie je nach Netzwerkkonfiguration einen der folgenden Befehle aus.

Für TCP:
```
nc -l PORT
```
Für UDP:
```
nc -l -u PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.
Starten Sie den externen Dienst neu und prüfen Sie, ob das Problem behoben wurde. Wenn das Problem weiterhin besteht, wenden Sie sich an den Google Security Operations-Support.

Der Weiterleiter empfängt keine Protokolle, der Host jedoch schon

Wenn der Host Protokolle empfängt, der Weiterleiter aber nicht, überwacht der Weiterleiter nicht den in der Konfigurationsdatei angegebenen Port.

So beheben Sie das Problem:

Öffnen Sie auf Ihrem System zwei Terminalfenster, eines zum Konfigurieren des Weiterleitungsprogramms und eines zum Senden einer Testnachricht an den Host.
1. Starten Sie im ersten Terminal (Weiterleitung) Docker, ohne den Weiterleitungsdienst zu starten. Führen Sie dazu den folgenden Befehl aus:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Geben Sie den Port an, den der Weiterleiter überwachen soll:
```
nc -l PORT
```
  Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.
Senden Sie im zweiten Terminal (Host) die Testnachricht über den Port. Führen Sie dazu den folgenden Befehl aus:
```
echo "test message" | nc localhost PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie die Fehlerbehebung durchführen möchten.

Führen Sie den Befehl docker noch einmal aus. Geben Sie das -p-Flag mit den Ports an, auf denen der Weiterleiter lauschen soll. Führen Sie dazu den folgenden Befehl aus:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable