Esta página se ha traducido con Cloud Translation API.

Solucionar problemas habituales del reenviador de Linux

Disponible en:

SecOps de Google SIEM

Este documento le ayudará a identificar y solucionar problemas habituales que pueden surgir al usar el reenviador de Linux de Google Security Operations.

El reenviador no se inicia

El reenviador no se inicia y se encuentra en un bucle de reinicio continuo con el siguiente error en los registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Causa posible 1: Asignación incorrecta en el archivo de configuración

Para solucionar este problema, asegúrate de que estás transfiriendo la ruta correcta al archivo de configuración y de que lo estás asignando a una carpeta externa.

Causa posible 2: SELinux está habilitado

Comprueba el archivo de configuración accediendo al contenedor sin iniciar el reenviador y ejecuta el siguiente comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Este comando te llevará a un shell desde el contenedor.

Ejecuta el siguiente comando:
```
ls -lrt /opt.chronicle/external/
```
Si recibes un error de permiso denegado, significa que el reenviador no puede abrir el archivo de configuración y, por lo tanto, no puede iniciarse.

Para solucionar este problema, sigue estos pasos:

Comprueba el estado de SELinux ejecutando el siguiente comando:
```
  sestatus
```
Si el estado de SELinux es "enabled" (habilitado) en el resultado, ejecuta el siguiente comando para inhabilitarlo:
```
  setenforce 0
```

Los registros no llegan al arrendatario de Google SecOps

Causa posible 1: resolución de DNS

Comprueba si el host no puede resolver direcciones o acceder a Google SecOps ejecutando el siguiente comando:

  nslookup malachiteingestion-pa.googleapis.com

Si el comando falla, ponte en contacto con tu equipo de redes para resolver el problema.

Causa posible 2: cortafuegos

Comprueba si el cortafuegos local está bloqueando la comunicación entre Google SecOps y el reenviador ejecutando el siguiente comando:

  firewall-cmd --state

Si el cortafuegos está habilitado, inhabilítalo ejecutando el siguiente comando:

  systemctl stop firewalld

Causa posible 3: tamaño del búfer

Comprueba si se trata de un problema de tamaño del búfer buscando el siguiente error en los registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para solucionar este problema, sigue estos pasos:

Habilita la compresión en el archivo de configuración del reenviador.
Aumenta el tamaño del búfer actualizando los parámetros max_memory_buffer_bytes y max_file_buffer_bytes en el archivo de configuración. Estos parámetros indican el búfer de lotes pendientes que se almacenan en la memoria o en el disco.

El remitente y el host no reciben registros

Si el host y el reenviador no reciben registros, comprueba el estado del puerto ejecutando el siguiente comando para cada puerto:

  netstat -a | grep PORT

Sustituye PORT por el ID del puerto que quieras comprobar.

Si el comando no devuelve ningún resultado, significa que el host no está escuchando en ese puerto y debes ponerte en contacto con el administrador de tu red.

Si la salida del comando indica que el host está escuchando en un puerto y el reenviador sigue sin recibir registros, haz lo siguiente:

Detén Docker ejecutando el siguiente comando:
```
docker stop cfps
```
Ejecuta uno de los siguientes comandos en función de la configuración de tu red.

En el caso de TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Sustituye PORT por el ID del puerto que quieras solucionar.
Reinicia el servicio externo y comprueba si se ha resuelto el problema. Si el problema persiste, [ponte en contacto con el equipo de Asistencia de Operaciones de Seguridad de Google.

El reenviador no recibe registros, pero el host sí

Si el host recibe registros, pero el reenviador no, significa que el reenviador no está escuchando en el puerto especificado en el archivo de configuración.

Para solucionar este problema, sigue estos pasos:

Abre dos ventanas de terminal en tu sistema: una para configurar el reenviador y otra para enviar un mensaje de prueba al host.
1. En el primer terminal (reenviador), inicia Docker sin iniciar el reenviador ejecutando el siguiente comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifica el puerto en el que debe escuchar el reenviador:
```
nc -l PORT
```
  Sustituye PORT por el ID del puerto que quieras solucionar.
En el segundo terminal (host), envía el mensaje de prueba en el puerto ejecutando el siguiente comando:
```
echo "test message" | nc localhost PORT
```
Sustituye PORT por el ID del puerto que quieras solucionar.

Vuelve a ejecutar el comando docker. Especifica la marca -p con los puertos en los que debe escuchar el reenviador ejecutando el siguiente comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable