Häufige Probleme mit Linux-Forwardern beheben

Auf dieser Seite können Sie häufige Probleme erkennen und beheben, die bei der Verwendung des Chronicle Linux-Forwarders auftreten können.

Forwarder wird nicht gestartet

Forwarder startet nicht und befindet sich in einer kontinuierlichen Neustartschleife mit folgendem Fehler in den Logs:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Mögliche Ursache 1: Falsche Zuordnung in der Konfigurationsdatei

Sie können dieses Problem beheben, indem Sie den richtigen Pfad zur Konfigurationsdatei übergeben und sie einem externen Ordner zuordnen.

Mögliche Ursache 2: SELinux ist aktiviert

Prüfen Sie die Konfigurationsdatei. Rufen Sie dazu den Container auf, ohne den Forwarder zu starten, und führen Sie den folgenden Befehl aus:
```
docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_
```
Mit diesem Befehl gelangen Sie innerhalb des Containers in eine Shell.
Führen Sie dazu diesen Befehl aus:
```
ls -lrt /opt.chronicle/external/
```
Wenn Sie die Fehlermeldung „Berechtigung verweigert“ erhalten, bedeutet dies, dass der Forwarder die Konfigurationsdatei nicht öffnen und daher nicht starten kann.

So beheben Sie das Problem:

Prüfen Sie den SELinux-Status mit dem folgenden Befehl:
```
  sestatus
```
Wenn der SELinux-Status in der Ausgabe aktiviert ist, führen Sie den folgenden Befehl aus, um ihn zu deaktivieren:
```
  setenforce 0
```

Logs erreichen den Chronicle-Mandanten nicht

Mögliche Ursache 1: DNS-Auflösung

Prüfen Sie mit dem folgenden Befehl, ob der Host keine Adressen auflösen oder Chronicle erreichen kann:

  nslookup malachiteingestion-pa.googleapis.com

Wenn der Befehl fehlschlägt, wenden Sie sich an Ihr Netzwerkteam, um eine Lösung zu finden.

Mögliche Ursache 2: Firewall

Prüfen Sie mit dem folgenden Befehl, ob die lokale Firewall die Kommunikation zwischen Chronicle und dem Forwarder blockiert:

  firewall-cmd --state

Wenn die Firewall aktiviert ist, deaktivieren Sie sie mit dem folgenden Befehl:

  systemctl stop firewalld

Mögliche Ursache 3: Puffergröße

Prüfen Sie, ob es sich um ein Problem mit der Puffergröße handelt. Suchen Sie dazu in den Logs nach dem folgenden Fehler:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

So beheben Sie das Problem:

Aktivieren Sie die Komprimierung in der Konfigurationsdatei für den Forwarder.
Erhöhen Sie die Zwischenspeichergröße, indem Sie die Parameter max_memory_buffer_bytes und max_file_buffer_bytes in der Konfigurationsdatei aktualisieren. Diese Parameter geben den Zwischenspeicher von Backlog-Batches an, die im Arbeitsspeicher oder auf dem Laufwerk gespeichert sind.

Forwarder und Host empfangen keine Logs

Wenn der Host und der Forwarder keine Logs erhalten, prüfen Sie den Portstatus. Führen Sie dazu für jeden Port den folgenden Befehl aus:

  netstat -a | grep PORT

Ersetzen Sie PORT durch die Port-ID, die Sie prüfen möchten.

Wenn der Befehl keine Ausgabe zurückgibt, bedeutet dies, dass der Host diesen Port nicht überwacht. Wenden Sie sich in diesem Fall an Ihren Netzwerkadministrator.

Wenn die Ausgabe des Befehls anzeigt, dass der Host einen Port überwacht und der Forwarder immer noch keine Logs empfängt, gehen Sie so vor:

Beenden Sie Docker mit dem folgenden Befehl:
```
docker stop cfps
```
Führen Sie je nach Netzwerkeinrichtung einen der folgenden Befehle aus.

Für TCP:
```
nc -l PORT
```
Für UDP:
```
nc -l -u PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie Probleme beheben möchten.
Starten Sie den externen Dienst neu und prüfen Sie, ob das Problem behoben ist. Wenn das Problem weiterhin besteht, [wenden Sie sich an den Chronicle-Support.

Forwarder empfängt keine Logs, aber der Host empfängt Logs

Wenn der Host Logs empfängt, der Forwarder jedoch nicht, zeigt dies an, dass der Forwarder den in der Konfigurationsdatei angegebenen Port nicht überwacht.

So beheben Sie das Problem:

Öffnen Sie zwei Terminalfenster auf Ihrem System, eines zum Konfigurieren des Forwarders und eines zum Senden einer Testnachricht an den Host.
1. Starten Sie Docker auf dem ersten Terminal (Forwarder), ohne den Forwarder zu starten, indem Sie den folgenden Befehl ausführen:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Geben Sie den Port an, den der Forwarder überwachen soll:
```
nc -l PORT
```
  Ersetzen Sie PORT durch die Port-ID, für die Sie Probleme beheben möchten.
Senden Sie auf dem zweiten Terminal (Host) die Testnachricht an den Port. Führen Sie dazu den folgenden Befehl aus:
```
echo "test message" | nc localhost PORT
```
Ersetzen Sie PORT durch die Port-ID, für die Sie Probleme beheben möchten.

Führen Sie den Befehl docker noch einmal aus. Geben Sie das Flag -p mit den Ports an, die der Forwarder überwachen soll. Führen Sie dazu den folgenden Befehl aus:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable