Halaman ini diterjemahkan oleh Cloud Translation API.

Memecahkan masalah umum penerusan Linux

Didukung di:

Google secops SIEM

Dokumen ini membantu Anda mengenali dan memecahkan masalah umum yang mungkin Anda alami saat menggunakan penerusan Linux Google Security Operations.

Penerus tidak dimulai

Forwarder gagal dimulai dan berada dalam loop mulai ulang berkelanjutan dengan kesalahan berikut dalam log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Kemungkinan penyebab 1: Pemetaan yang salah dalam file konfigurasi

Untuk mengatasi masalah ini, pastikan Anda meneruskan jalur yang benar ke file konfigurasi dan memetakannya ke folder eksternal.

Kemungkinan penyebab 2: SELinux diaktifkan

Periksa file konfigurasi dengan masuk ke container tanpa memulai forwarder dan jalankan perintah berikut:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Perintah ini akan menempatkan Anda di shell dari dalam container.

Jalankan perintah berikut:
```
ls -lrt /opt.chronicle/external/
```
Jika Anda mendapatkan error izin ditolak, hal ini menunjukkan bahwa penerus tidak dapat membuka file konfigurasi dan oleh karena itu, tidak dapat dimulai.

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Periksa status SELinux dengan menjalankan perintah berikut:
```
  sestatus
```
Jika status SELinux diaktifkan dalam output, jalankan perintah berikut untuk menonaktifkannya:
```
  setenforce 0
```

Log tidak mencapai tenant Google SecOps

Kemungkinan penyebab 1: Resolusi DNS

Periksa apakah host tidak dapat menyelesaikan alamat atau menghubungi Google SecOps dengan menjalankan perintah berikut:

  nslookup malachiteingestion-pa.googleapis.com

Jika perintah gagal, hubungi tim jaringan Anda untuk mendapatkan penyelesaian.

Kemungkinan penyebab 2: Firewall

Periksa apakah firewall lokal memblokir komunikasi antara Google SecOps dan forwarder dengan menjalankan perintah berikut:

  firewall-cmd --state

Jika firewall diaktifkan, nonaktifkan dengan menjalankan perintah berikut:

  systemctl stop firewalld

Kemungkinan penyebab 3: Ukuran buffer

Periksa apakah ini masalah ukuran buffer dengan mencari error berikut dalam log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Aktifkan kompresi di file konfigurasi penerusan.
Tingkatkan ukuran buffer dengan memperbarui parameter max_memory_buffer_bytes dan max_file_buffer_bytes dalam file konfigurasi. Parameter ini menunjukkan buffer batch backlog yang disimpan di memori atau disk.

Penerus dan host tidak menerima log

Jika host dan penerus tidak menerima log, periksa status port dengan menjalankan perintah berikut untuk setiap port:

  netstat -a | grep PORT

Ganti PORT dengan ID port yang ingin Anda periksa.

Jika perintah tidak memberikan output apa pun, hal ini menunjukkan bahwa host tidak memproses permintaan di port tersebut dan Anda harus berkonsultasi dengan administrator jaringan Anda.

Jika output dari perintah menunjukkan bahwa host memproses port dan penerusan masih belum menerima log, lakukan hal berikut:

Hentikan Docker dengan menjalankan perintah berikut:
```
docker stop cfps
```
Jalankan salah satu perintah berikut berdasarkan penyiapan jaringan Anda.

Untuk TCP:
```
nc -l PORT
```
Untuk UDP:
```
nc -l -u PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.
Mulai ulang layanan eksternal Anda dan periksa apakah masalahnya telah teratasi. Jika masalah berlanjut, [hubungi dukungan SecOps Google.

Forwarder tidak menerima log, tetapi host menerima log

Jika host menerima log, tetapi penerusnya tidak, hal ini menunjukkan bahwa penerus tidak memproses port yang ditentukan dalam file konfigurasi.

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Buka dua jendela terminal di sistem Anda, satu untuk mengonfigurasi penerusan dan satu untuk mengirim pesan pengujian ke host.
1. Di terminal pertama (forwarder), mulai Docker tanpa memulai forwarder dengan menjalankan perintah berikut:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Tentukan port yang harus diproses oleh penerusan:
```
nc -l PORT
```
  Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.
Di terminal kedua (host), kirim pesan pengujian di port dengan menjalankan perintah berikut:
```
echo "test message" | nc localhost PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.

Jalankan kembali perintah docker. Tentukan flag -p dengan port tempat forwarder harus memproses permintaan dengan menjalankan perintah berikut:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable