Se usó la API de Cloud Translation para traducir esta página.

Soluciona problemas comunes del reenviador de Linux

Compatible con:

Google SecOps SIEM

En este documento, se te ayuda a reconocer y solucionar problemas comunes que puedes encontrar cuando usas el reenviador de Linux de Google Security Operations.

El reenviador no se inicia

El reenviador no se inicia y está en un bucle de reinicio continuo con el siguiente error en los registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Posible causa 1: Asignación incorrecta en el archivo de configuración

Para resolver este problema, asegúrate de pasar la ruta de acceso correcta al archivo de configuración y asignarla a una carpeta externa.

Causa posible 2: SELinux está habilitado

Para verificar el archivo de configuración, ingresa al contenedor sin iniciar el reenviador y ejecuta el siguiente comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Este comando te colocará en una shell desde el contenedor.

Ejecuta el siguiente comando:
```
ls -lrt /opt.chronicle/external/
```
Si recibes un error de permiso denegado, significa que el reenviador no puede abrir el archivo de configuración y, por lo tanto, no puede iniciarse.

Para solucionar este problema, haz lo siguiente:

Ejecuta el siguiente comando para verificar el estado de SELinux:
```
  sestatus
```
Si el estado de SELinux está habilitado en el resultado, ejecuta el siguiente comando para inhabilitarlo:
```
  setenforce 0
```

Los registros no llegan al inquilino de Google Security Operations

Posible causa 1: Resolución de DNS

Ejecuta el siguiente comando para verificar si el host no puede resolver direcciones ni comunicarse con Google Security Operations:

  nslookup malachiteingestion-pa.googleapis.com

Si el comando falla, comunícate con tu equipo de redes para resolver el problema.

Causa posible 2: Firewall

Ejecuta el siguiente comando para verificar si el firewall local bloquea la comunicación entre Google Security Operations y el reenviador:

  firewall-cmd --state

Si el firewall está habilitado, inhabilitalo mediante el siguiente comando:

  systemctl stop firewalld

Causa posible 3: Tamaño del búfer

Para verificar si se trata de un problema de tamaño del búfer, busca el siguiente error en los registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para solucionar este problema, haz lo siguiente:

Habilita la compresión en el archivo de configuración del reenviador.
Para aumentar el tamaño del búfer, actualiza los parámetros max_memory_buffer_bytes y max_file_buffer_bytes en el archivo de configuración. Estos parámetros indican el búfer de lotes de tareas pendientes que se almacenan en la memoria o el disco.

El reenviador y el host no reciben registros

Si el host y el reenviador no reciben registros, ejecuta el siguiente comando para cada puerto para verificar el estado del puerto:

  netstat -a | grep PORT

Reemplaza PORT por el ID del puerto que deseas verificar.

Si el comando no muestra ningún resultado, significa que el host no está escuchando en ese puerto y debes consultar a tu administrador de red.

Si el resultado del comando indica que el host está escuchando en un puerto y el reenviador aún no recibe registros, haz lo siguiente:

Ejecuta el siguiente comando para detener Docker:
```
docker stop cfps
```
Ejecuta uno de los siguientes comandos según la configuración de red.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Reemplaza PORT por el ID del puerto para el que deseas solucionar el problema.
Reinicia el servicio externo y comprueba si se resolvió el problema. Si el problema persiste, [comunícate con el equipo de asistencia de Google Security Operations.

El reenviador no recibe registros, pero el host sí

Si el host recibe registros, pero el reenviador no, significa que el reenviador no está escuchando en el puerto especificado en el archivo de configuración.

Para solucionar este problema, haz lo siguiente:

Abre dos ventanas de terminal en el sistema, una para configurar el reenviador y otra para enviar un mensaje de prueba al host.
1. En la primera terminal (redireccionamiento), ejecuta el siguiente comando para iniciar Docker sin iniciar el redireccionamiento:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifica el puerto en el que debe escuchar el reenviador:
```
nc -l PORT
```
  Reemplaza PORT por el ID del puerto para el que deseas solucionar el problema.
En la segunda terminal (host), ejecuta el siguiente comando para enviar el mensaje de prueba en el puerto:
```
echo "test message" | nc localhost PORT
```
Reemplaza PORT por el ID del puerto para el que deseas solucionar el problema.

Vuelve a ejecutar el comando docker. Ejecuta el siguiente comando para especificar la marca -p con los puertos en los que el reenviador debe escuchar:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable