Se usó la API de Cloud Translation para traducir esta página.

Soluciona problemas comunes del servidor de reenvío de Linux

Esta página te ayuda a reconocer y solucionar problemas comunes que puedes encontrar cuando usas el servidor de reenvío de Linux de Google Security Operations.

El reenvío no se inicia

Forwarder no se inicia y está en un bucle de reinicio continuo con el siguiente error en los registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Causa 1: Asignación incorrecta en el archivo de configuración

Para resolver este problema, asegúrate de pasar la ruta de acceso correcta al archivo de configuración y asignarlo a una carpeta externa.

Causa posible 2: SELinux está habilitado

Para verificar el archivo de configuración, accede al contenedor sin iniciar el servidor de reenvío y ejecuta el siguiente comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Este comando te pondrá en una shell desde el contenedor.

Ejecuta el siguiente comando:
```
ls -lrt /opt.chronicle/external/ 
```
Si se muestra un error de denegación de permisos, significa que el reenviador no puede abrir el archivo de configuración y, por lo tanto, no puede iniciarse.

Para solucionar este problema, haz lo siguiente:

Verifica el estado de SELinux ejecutando el siguiente comando:
```
  sestatus
```
Si el estado de SELinux está habilitado en el resultado, ejecuta el siguiente comando para inhabilitarlo:
```
  setenforce 0
```

Los registros no llegan al usuario de Google Security Operations

Causa posible 1: resolución de DNS

Verifica si el host no puede resolver direcciones o comunicarse con Google Security Operations mediante la ejecución del siguiente comando:

  nslookup malachiteingestion-pa.googleapis.com

Si el comando falla, comunícate con tu equipo de redes para obtener una solución.

Causa posible 2: firewall

Ejecuta el siguiente comando para verificar si el firewall local está bloqueando la comunicación entre Google Security Operations y el servidor de reenvío:

  firewall-cmd --state

Si el firewall está habilitado, ejecuta el siguiente comando para inhabilitarlo:

  systemctl stop firewalld

Causa posible 3: tamaño del búfer

Para verificar si se trata de un problema de tamaño del búfer, busca el siguiente error en los registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para solucionar este problema, haz lo siguiente:

Habilita la compresión en el archivo de configuración de reenvío.
Aumenta el tamaño del búfer mediante la actualización de los parámetros max_memory_buffer_bytes y max_file_buffer_bytes en el archivo de configuración. Estos parámetros indican el búfer de los lotes de tareas pendientes que se almacenan en la memoria o en el disco.

El reenvío y el host no reciben registros

Si el host y el servidor de reenvío no reciben registros, verifica el estado del puerto mediante la ejecución del siguiente comando para cada puerto:

  netstat -a | grep PORT

Reemplaza PORT por el ID del puerto que deseas verificar.

Si el comando no genera ningún resultado, significa que el host no está escuchando en ese puerto y debes consultar a tu administrador de red.

Si el resultado del comando indica que el host está escuchando en un puerto y que el servidor de reenvío todavía no recibe registros, haz lo siguiente:

Detén Docker ejecutando el siguiente comando:
```
docker stop cfps
```
Ejecuta uno de los siguientes comandos según la configuración de tu red.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Reemplaza PORT por el ID del puerto del que deseas solucionar problemas.
Reinicia el servicio externo y verifica si se solucionó el problema. Si el problema persiste, [comunícate con el equipo de asistencia de Google Security Operations.

El reenvío no recibe registros, pero el host sí los recibe

Si el host recibe registros, pero el servidor de reenvío no, significa que el reenvío no está escuchando en el puerto especificado en el archivo de configuración.

Para solucionar este problema, haz lo siguiente:

Abre dos ventanas de terminal en tu sistema, una para configurar el reenviador y otra para enviar un mensaje de prueba al host.
1. En la primera terminal (reenviador), ejecuta el siguiente comando para iniciar Docker sin iniciar el reenviador:
```
docker run \
--name cfps \
--log-opt max-size=100m \ 
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifica el puerto en el que el servidor de reenvío debe escuchar:
```
nc -l PORT
```
  Reemplaza PORT por el ID del puerto del que deseas solucionar problemas.
En la segunda terminal (host), envía el mensaje de prueba en el puerto mediante la ejecución del siguiente comando:
```
echo "test message" | nc localhost PORT
```
Reemplaza PORT por el ID del puerto del que deseas solucionar problemas.

Vuelve a ejecutar el comando docker. Ejecuta el siguiente comando para especificar la marca -p con los puertos en los que el reenvío debe escuchar:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable