Memecahkan masalah umum forwarder Linux

Halaman ini membantu Anda mengenali dan memecahkan masalah umum yang mungkin Anda hadapi saat menggunakan forwarder Chronicle Linux.

Forwarder tidak dimulai

Forwarder gagal dimulai dan berada dalam loop mulai ulang berkelanjutan dengan error berikut di log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Kemungkinan penyebab 1: Pemetaan salah pada file konfigurasi

Untuk mengatasi masalah ini, pastikan Anda meneruskan jalur yang benar ke file konfigurasi dan memetakannya ke folder eksternal.

Kemungkinan penyebab 2: SELinux diaktifkan

Periksa file konfigurasi dengan masuk ke container tanpa memulai forwarder dan jalankan perintah berikut:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Perintah ini akan menempatkan Anda di shell dari dalam container tersebut.

Jalankan perintah berikut:
```
ls -lrt /opt.chronicle/external/
```
Jika Anda mendapatkan error izin ditolak, ini menunjukkan bahwa penerus tidak dapat membuka file konfigurasi dan karenanya tidak dapat memulai.

Untuk mengatasi masalah ini, lakukan langkah berikut:

Periksa status SELinux dengan menjalankan perintah berikut:
```
  sestatus
```
Jika status SELinux diaktifkan di output, jalankan perintah berikut untuk menonaktifkannya:
```
  setenforce 0
```

Log tidak terkirim ke tenant Chronicle

Kemungkinan penyebab 1: Resolusi DNS

Periksa apakah host tidak dapat me-resolve alamat atau menjangkau Chronicle dengan menjalankan perintah berikut:

  nslookup malachiteingestion-pa.googleapis.com

Jika perintah gagal, hubungi tim jaringan Anda untuk menyelesaikan masalah.

Kemungkinan penyebab 2: Firewall

Periksa apakah firewall lokal memblokir komunikasi antara Chronicle dan forwarder dengan menjalankan perintah berikut:

  firewall-cmd --state

Jika firewall diaktifkan, nonaktifkan dengan menjalankan perintah berikut:

  systemctl stop firewalld

Kemungkinan penyebab 3: Ukuran buffer

Periksa apakah ini masalah ukuran buffer dengan mencari error berikut di log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Untuk mengatasi masalah ini, lakukan langkah berikut:

Aktifkan kompresi di file konfigurasi penerus.
Tingkatkan ukuran buffer dengan mengupdate parameter max_memory_buffer_bytes dan max_file_buffer_bytes di file konfigurasi. Parameter ini menunjukkan buffer batch backlog yang disimpan dalam memori atau disk.

Forwarder dan host tidak menerima log

Jika host dan penerusan tidak menerima log, periksa status port dengan menjalankan perintah berikut untuk setiap port:

  netstat -a | grep PORT

Ganti PORT dengan ID port yang ingin Anda periksa.

Jika perintah ini tidak memberikan output apa pun, ini menunjukkan bahwa host tidak memproses port tersebut dan Anda harus berkonsultasi dengan administrator jaringan.

Jika output dari perintah menunjukkan bahwa host sedang memproses port dan forwarder masih belum menerima log, lakukan hal berikut:

Hentikan Docker dengan menjalankan perintah berikut:
```
docker stop cfps
```
Jalankan salah satu perintah berikut berdasarkan penyiapan jaringan Anda.

Untuk TCP:
```
nc -l PORT
```
Untuk UDP:
```
nc -l -u PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan.
Mulai ulang layanan eksternal Anda dan periksa apakah masalah telah teratasi. Jika masalah terus berlanjut, [hubungi dukungan Chronicle.

Forwarder tidak menerima log, tetapi host menerima log

Jika host menerima log, tetapi penerusan tidak, hal ini menunjukkan bahwa penerusan tidak memproses port yang ditentukan dalam file konfigurasi.

Untuk mengatasi masalah ini, lakukan langkah berikut:

Buka dua jendela terminal di sistem, satu untuk mengonfigurasi forwarder dan satu untuk mengirim pesan pengujian ke host.
1. Pada terminal pertama (forwarder), mulai Docker tanpa memulai forwarder dengan menjalankan perintah berikut:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Tentukan port yang harus didengarkan oleh penerus:
```
nc -l PORT
```
  Ganti PORT dengan ID port yang ingin Anda pecahkan.
Pada terminal kedua (host), kirim pesan pengujian pada port dengan menjalankan perintah berikut:
```
echo "test message" | nc localhost PORT
```
Ganti PORT dengan ID port yang ingin Anda pecahkan.

Jalankan kembali perintah docker. Tentukan flag -p dengan port tempat forwarder akan memproses dengan menjalankan perintah berikut:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable