Cette page a été traduite par l'API Cloud Translation.

Résoudre les problèmes courants liés au transmetteur Linux

Compatible avec :

Google SecOps SIEM

Ce document vous aide à identifier et à résoudre les problèmes courants que vous pouvez rencontrer lors de l'utilisation du redirecteur Linux Google Security Operations.

Le transitaire ne démarre pas

Le transmetteur ne parvient pas à démarrer et se trouve dans une boucle de redémarrage continu avec l'erreur suivante dans les journaux :

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Cause possible 1 : Mappage incorrect dans le fichier de configuration

Pour résoudre ce problème, assurez-vous de transmettre le chemin d'accès correct au fichier de configuration et de le mapper à un dossier externe.

Cause possible 2 : SELinux est activé

Vérifiez le fichier de configuration en accédant au conteneur sans démarrer le transmetteur et en exécutant la commande suivante :
```
docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_
```
Cette commande vous permettra d'accéder à un shell depuis le conteneur.
Exécutez la commande suivante :
```
ls -lrt /opt.chronicle/external/
```
Si vous recevez une erreur d'autorisation refusée, cela signifie que le transmetteur ne peut pas ouvrir le fichier de configuration et, par conséquent, ne peut pas démarrer.

Pour résoudre ce problème, procédez comme suit :

Vérifiez l'état de SELinux en exécutant la commande suivante :
```
  sestatus
```
Si l'état SELinux est activé dans le résultat, exécutez la commande suivante pour le désactiver :
```
  setenforce 0
```

Journaux n'atteignant pas le locataire Google SecOps

Cause possible 1 : Résolution DNS

Vérifiez si l'hôte ne parvient pas à résoudre les adresses ni à contacter Google SecOps en exécutant la commande suivante :

  nslookup malachiteingestion-pa.googleapis.com

Si la commande échoue, contactez votre équipe réseau pour résoudre le problème.

Cause possible 2 : Pare-feu

Vérifiez si le pare-feu local bloque la communication entre Google SecOps et le redirecteur en exécutant la commande suivante :

  firewall-cmd --state

Si le pare-feu est activé, désactivez-le en exécutant la commande suivante :

  systemctl stop firewalld

Cause possible 3 : Taille du tampon

Vérifiez s'il s'agit d'un problème de taille de mémoire tampon en recherchant l'erreur suivante dans les journaux :

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Pour résoudre ce problème, procédez comme suit :

Activez la compression dans le fichier de configuration du transmetteur.
Augmentez la taille du tampon en modifiant les paramètres max_memory_buffer_bytes et max_file_buffer_bytes dans le fichier de configuration. Ces paramètres indiquent le tampon des lots en attente stockés dans la mémoire ou sur le disque.

Le transitaire et l'hôte ne reçoivent pas les journaux

Si l'hôte et le redirecteur ne reçoivent pas de journaux, vérifiez l'état du port en exécutant la commande suivante pour chaque port :

  netstat -a | grep PORT

Remplacez PORT par l'ID du port que vous souhaitez vérifier.

Si la commande ne donne aucun résultat, cela signifie que l'hôte n'écoute pas sur ce port. Vous devez alors consulter votre administrateur réseau.

Si le résultat de la commande indique que l'hôte écoute sur un port et que le transmetteur ne reçoit toujours pas de journaux, procédez comme suit :

Arrêtez Docker en exécutant la commande suivante :
```
docker stop cfps
```
Exécutez l'une des commandes suivantes en fonction de la configuration de votre réseau.

Pour TCP :
```
nc -l PORT
```
Pour UDP :
```
nc -l -u PORT
```
Remplacez PORT par l'ID du port pour lequel vous souhaitez résoudre les problèmes.
Redémarrez votre service externe et vérifiez si le problème est résolu. Si le problème persiste, [contactez l'assistance Google SecOps.

Le redirecteur ne reçoit pas les journaux, mais l'hôte les reçoit

Si l'hôte reçoit des journaux, mais pas le transmetteur, cela indique que le transmetteur n'écoute pas le port spécifié dans le fichier de configuration.

Pour résoudre ce problème, procédez comme suit :

Ouvrez deux fenêtres de terminal sur votre système : une pour configurer le redirecteur et une pour envoyer un message de test à l'hôte.
1. Dans le premier terminal (transmetteur), démarrez Docker sans démarrer le transmetteur en exécutant la commande suivante :
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Spécifiez le port sur lequel le redirecteur doit écouter :
```
nc -l PORT
```
  Remplacez PORT par l'ID du port pour lequel vous souhaitez résoudre les problèmes.
Sur le deuxième terminal (hôte), envoyez le message de test sur le port en exécutant la commande suivante :
```
echo "test message" | nc localhost PORT
```
Remplacez PORT par l'ID du port pour lequel vous souhaitez résoudre les problèmes.

Exécutez à nouveau la commande docker. Spécifiez l'indicateur -p avec les ports sur lesquels le redirecteur doit écouter en exécutant la commande suivante :

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable