Se usó la API de Cloud Translation para traducir esta página.

Soluciona problemas comunes del reenvío de Linux

Compatible con:

Google SecOps SIEM

En este documento, se te ayuda a reconocer y solucionar problemas comunes que puedes enfrentar cuando usas el agente de reenvío de Linux de Operaciones de seguridad de Google.

El reenvío no se inicia

El reenvío no se inicia y se encuentra en un bucle de reinicio continuo con el siguiente error en los registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Posible causa 1: Asignación incorrecta en el archivo de configuración

Para resolver este problema, asegúrate de pasar la ruta de acceso correcta al archivo de configuración y asignarla a una carpeta externa.

Causa posible 2: SELinux está habilitado

Para verificar el archivo de configuración, ingresa al contenedor sin iniciar el reenvío y ejecuta el siguiente comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Este comando te colocará en una shell desde el interior del contenedor.

Ejecuta el siguiente comando:
```
ls -lrt /opt.chronicle/external/
```
Si recibes un error de permiso denegado, significa que el reenvío no puede abrir el archivo de configuración y, por lo tanto, no puede iniciarse.

Para solucionar este problema, haz lo siguiente:

Ejecuta el siguiente comando para verificar el estado de SELinux:
```
  sestatus
```
Si el estado de SELinux está habilitado en el resultado, ejecuta el siguiente comando para inhabilitarlo:
```
  setenforce 0
```

Los registros no llegan al arrendatario de Google SecOps

Causa posible 1: Resolución de DNS

Ejecuta el siguiente comando para verificar si el host no puede resolver direcciones o comunicarse con el equipo de Operaciones de seguridad de Google:

  nslookup malachiteingestion-pa.googleapis.com

Si el comando falla, comunícate con tu equipo de redes para resolver el problema.

Causa posible 2: Firewall

Ejecuta el siguiente comando para verificar si el firewall local bloquea la comunicación entre Google SecOps y el reenviador:

  firewall-cmd --state

Si el firewall está habilitado, inhabilítalo ejecutando el siguiente comando:

  systemctl stop firewalld

Causa posible 3: Tamaño del búfer

Para verificar si se trata de un problema de tamaño del búfer, busca el siguiente error en los registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para solucionar este problema, haz lo siguiente:

Habilita la compresión en el archivo de configuración del reenvío.
Aumenta el tamaño del búfer actualizando los parámetros max_memory_buffer_bytes y max_file_buffer_bytes en el archivo de configuración. Estos parámetros indican el búfer de lotes pendientes que se almacenan en la memoria o el disco.

El host y el reenvío no reciben registros

Si el host y el reenvío no reciben registros, verifica el estado del puerto ejecutando el siguiente comando para cada puerto:

  netstat -a | grep PORT

Reemplaza PORT por el ID del puerto que deseas verificar.

Si el comando no muestra ningún resultado, significa que el host no está escuchando en ese puerto y debes consultar a tu administrador de red.

Si el resultado del comando indica que el host está escuchando en un puerto y el reenvío aún no recibe registros, haz lo siguiente:

Detén Docker con el siguiente comando:
```
docker stop cfps
```
Ejecuta uno de los siguientes comandos según la configuración de tu red.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Reemplaza PORT por el ID del puerto para el que deseas solucionar problemas.
Reinicia tu servicio externo y verifica si se resolvió el problema. Si el problema persiste, [comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

El retransmisor no recibe registros, pero el host sí

Si el host recibe registros, pero el retransmisor no, esto indica que el retransmisor no está escuchando en el puerto especificado en el archivo de configuración.

Para solucionar este problema, haz lo siguiente:

Abre dos ventanas de terminal en tu sistema, una para configurar el reenvío y otra para enviar un mensaje de prueba al host.
1. En la primera terminal (reenviador), inicia Docker sin iniciar el reenviador ejecutando el siguiente comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifica el puerto en el que debe escuchar el reenvío:
```
nc -l PORT
```
  Reemplaza PORT por el ID del puerto para el que deseas solucionar problemas.
En la segunda terminal (host), envía el mensaje de prueba en el puerto ejecutando el siguiente comando:
```
echo "test message" | nc localhost PORT
```
Reemplaza PORT por el ID del puerto para el que deseas solucionar problemas.

Vuelve a ejecutar el comando docker. Especifica la marca -p con los puertos en los que el reenvío debe escuchar ejecutando el siguiente comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable