Halaman ini diterjemahkan oleh Cloud Translation API.

Memecahkan masalah umum forwarder Linux

Didukung di:

Google SecOps SIEM

Dokumen ini membantu Anda mengenali dan memecahkan masalah umum yang mungkin Anda hadapi saat menggunakan forwarder Linux Google Security Operations.

Pengirim tidak dimulai

Pengirim gagal dimulai dan berada dalam loop mulai ulang berkelanjutan dengan error berikut dalam log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Kemungkinan penyebab 1: Pemetaan yang salah dalam file konfigurasi

Untuk mengatasi masalah ini, pastikan Anda meneruskan jalur yang benar ke file konfigurasi dan memetakan ke folder eksternal.

Kemungkinan penyebab 2: SELinux diaktifkan

Periksa file konfigurasi dengan masuk ke penampung tanpa memulai forwarder dan jalankan perintah berikut:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Perintah ini akan menempatkan Anda di shell dari dalam penampung.

Jalankan perintah berikut:
```
ls -lrt /opt.chronicle/external/
```
Jika Anda mendapatkan error izin ditolak, hal ini menunjukkan bahwa penerusan tidak dapat membuka file konfigurasi sehingga tidak dapat dimulai.

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Periksa status SELinux dengan menjalankan perintah berikut:
```
  sestatus
```
Jika status SELinux diaktifkan dalam output, jalankan perintah berikut untuk menonaktifkannya:
```
  setenforce 0
```

Log tidak mencapai tenant Google Security Operations

Kemungkinan penyebab 1: Resolusi DNS

Periksa apakah host tidak dapat me-resolve alamat atau menjangkau Google Security Operations dengan menjalankan perintah berikut:

  nslookup malachiteingestion-pa.googleapis.com

Jika perintah gagal, hubungi tim jaringan Anda untuk mendapatkan solusi.

Kemungkinan penyebab 2: Firewall

Periksa apakah firewall lokal memblokir komunikasi antara Google Security Operations dan penerusan dengan menjalankan perintah berikut:

  firewall-cmd --state

Jika firewall diaktifkan, nonaktifkan dengan menjalankan perintah berikut:

  systemctl stop firewalld

Kemungkinan penyebab 3: Ukuran buffer

Periksa apakah masalahnya adalah ukuran buffering dengan mencari error berikut di log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Aktifkan kompresi di file konfigurasi forwarder.
Tingkatkan ukuran buffering dengan memperbarui parameter max_memory_buffer_bytes dan max_file_buffer_bytes dalam file konfigurasi. Parameter ini menunjukkan buffering batch backlog yang disimpan di memori atau disk.

Penerusan dan host tidak menerima log

Jika host dan forwarder tidak menerima log, periksa status port dengan menjalankan perintah berikut untuk setiap port:

  netstat -a | grep PORT

Ganti PORT dengan ID port yang ingin Anda periksa.

Jika perintah tidak memberikan output apa pun, hal ini menunjukkan bahwa host tidak mendengarkan di port tersebut dan Anda harus berkonsultasi dengan administrator jaringan.

Jika output dari perintah menunjukkan bahwa host memproses port dan penerusan masih tidak menerima log, lakukan hal berikut:

Hentikan Docker dengan menjalankan perintah berikut:
```
docker stop cfps
```
Jalankan salah satu perintah berikut berdasarkan penyiapan jaringan Anda.

Untuk TCP:
```
nc -l PORT
```
Untuk UDP:
```
nc -l -u PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.
Mulai ulang layanan eksternal Anda dan periksa apakah masalahnya telah teratasi. Jika masalah berlanjut, [hubungi dukungan Google Security Operations.

Pengirim tidak menerima log, tetapi host menerima log

Jika host menerima log, tetapi pengirim tidak, hal ini menunjukkan bahwa pengirim tidak memproses port yang ditentukan dalam file konfigurasi.

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

Buka dua jendela terminal di sistem Anda, satu untuk mengonfigurasi penerusan dan satu untuk mengirim pesan pengujian ke host.
1. Di terminal pertama (forwarder), mulai Docker tanpa memulai forwarder dengan menjalankan perintah berikut:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Tentukan port yang akan diproses oleh forwarder:
```
nc -l PORT
```
  Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.
Di terminal kedua (host), kirim pesan pengujian di port dengan menjalankan perintah berikut:
```
echo "test message" | nc localhost PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan masalahnya.

Jalankan kembali perintah docker. Tentukan flag -p dengan port tempat forwarder harus memproses dengan menjalankan perintah berikut:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable