Questa pagina è stata tradotta dall'API Cloud Translation.

Risolvere i problemi comuni del forwarder Linux

Supportato in:

Google SecOps SIEM

Questo documento ti aiuta a riconoscere e risolvere i problemi comuni che potresti riscontrare durante l'utilizzo del forwarder Linux di Google Security Operations.

Il forwarder non si avvia

Il forwarder non si avvia ed è in un loop di riavvio continuo con il seguente errore nei log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Possibile causa 1: mappatura errata nel file di configurazione

Per risolvere il problema, assicurati di passare il percorso corretto al file di configurazione e di mapparlo a una cartella esterna.

Possibile causa 2: SELinux è abilitato

Controlla il file di configurazione accedendo al contenitore senza avviare il forwarder ed esegui il seguente comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Questo comando ti reindirizzerà a una shell all'interno del contenitore.

Esegui questo comando:
```
ls -lrt /opt.chronicle/external/
```
Se ricevi un errore di autorizzazione negata, significa che il forwarder non è in grado di aprire il file di configurazione e quindi non può essere avviato.

Per risolvere il problema:

Controlla lo stato di SELinux eseguendo il seguente comando:
```
  sestatus
```
Se lo stato SELinux è abilitato nell'output, esegui il seguente comando per disattivarlo:
```
  setenforce 0
```

I log non raggiungono il tenant Google Security Operations

Possibile causa 1: risoluzione DNS

Controlla se l'host non è in grado di risolvere gli indirizzi o di raggiungere Google Security Operations eseguendo il seguente comando:

  nslookup malachiteingestion-pa.googleapis.com

Se il comando non va a buon fine, contatta il team di networking per la risoluzione del problema.

Possibile causa 2: firewall

Controlla se il firewall locale blocca la comunicazione tra le operazioni di sicurezza di Google e il forwarder eseguendo il seguente comando:

  firewall-cmd --state

Se il firewall è abilitato, disattivalo eseguendo il seguente comando:

  systemctl stop firewalld

Possibile causa 3: dimensione del buffer

Controlla se si tratta di un problema di dimensioni del buffer cercando il seguente errore nei log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Per risolvere il problema:

Attiva la compressione nel file di configurazione del forwarder.
Aumenta le dimensioni del buffer aggiornando i parametri max_memory_buffer_bytes e max_file_buffer_bytes nel file di configurazione. Questi parametri indicano il buffer dei batch in coda archiviati nella memoria o sul disco.

L'inoltrare e l'host non ricevono i log

Se l'host e il forwarder non ricevono log, controlla lo stato della porta eseguendo il seguente comando per ogni porta:

  netstat -a | grep PORT

Sostituisci PORT con l'ID porta che vuoi controllare.

Se il comando non genera alcun output, significa che l'host non è in ascolto su quella porta e devi consultare l'amministratore di rete.

Se l'output del comando indica che l'host è in ascolto su una porta e il forwarder continua a non ricevere log, procedi nel seguente modo:

Interrompi Docker eseguendo il seguente comando:
```
docker stop cfps
```
Esegui uno dei seguenti comandi in base alla configurazione della rete.

Per TCP:
```
nc -l PORT
```
Per UDP:
```
nc -l -u PORT
```
Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.
Riavvia il servizio esterno e controlla se il problema è stato risolto. Se il problema persiste, contatta l'assistenza di Google Security Operations.

Il forwarder non riceve i log, ma l'host li riceve

Se l'host riceve i log, ma il forwarder no, significa che il forwarder non è in ascolto sulla porta specificata nel file di configurazione.

Per risolvere il problema:

Apri due finestre del terminale sul sistema, una per configurare il forwarder e un'altra per inviare un messaggio di prova all'host.
1. Sul primo terminale (forwarder), avvia Docker senza avviare il forwarder eseguendo il seguente comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Specifica la porta su cui il forwarder deve rimanere in ascolto:
```
nc -l PORT
```
  Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.
Sul secondo terminale (host), invia il messaggio di test sulla porta eseguendo il seguente comando:
```
echo "test message" | nc localhost PORT
```
Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.

Esegui di nuovo il comando docker. Specifica il flag -p con le porte su cui deve ascoltare il forwarder eseguendo il seguente comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable