Risolvere i problemi comuni del forwarding Linux

Questa pagina ti aiuta a riconoscere e risolvere i problemi comuni che potresti riscontrare durante l'utilizzo del forwarding di Chronicle Linux.

L'inoltro non si avvia

Il forwarding non si avvia e si trova in un loop di riavvio continuo con il seguente errore nei log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Possibile causa 1: mappatura non corretta nel file di configurazione

Per risolvere questo problema, assicurati di trasmettere il percorso corretto al file di configurazione e di mapparlo a una cartella esterna.

Possibile causa 2: SELinux è abilitato

Controlla il file di configurazione accedendo al container senza avviare il forwarding ed esegui questo comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Questo comando ti collocherà in una shell dall'interno del container.

Esegui questo comando:
```
ls -lrt /opt.chronicle/external/
```
Se viene visualizzato un errore di autorizzazione negata, significa che l'utente che ha eseguito l'inoltro non è in grado di aprire il file di configurazione e, pertanto, non può avviarlo.

Per risolvere il problema:

Controlla lo stato di SELinux eseguendo questo comando:
```
  sestatus
```
Se lo stato di SELinux è abilitato nell'output, esegui il comando seguente per disabilitarlo:
```
  setenforce 0
```

I log non raggiungono il tenant di Chronicle

Possibile causa 1: risoluzione DNS

Controlla se l'host non è in grado di risolvere gli indirizzi o di raggiungere Chronicle eseguendo questo comando:

  nslookup malachiteingestion-pa.googleapis.com

Se il comando non riesce, contatta il team di networking per risolvere il problema.

Possibile causa 2: firewall

Controlla se il firewall locale blocca la comunicazione tra Chronicle e il forwarding eseguendo questo comando:

  firewall-cmd --state

Se il firewall è abilitato, disabilitalo eseguendo questo comando:

  systemctl stop firewalld

Possibile causa 3: dimensione del buffer

Verifica se si tratta di un problema relativo alle dimensioni del buffer cercando il seguente errore nei log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Per risolvere il problema:

Attiva la compressione nel file di configurazione del forwarding.
Aumenta la dimensione del buffer aggiornando i parametri max_memory_buffer_bytes e max_file_buffer_bytes nel file di configurazione. Questi parametri indicano il buffer dei batch di backlog archiviati nella memoria o sul disco.

Il forwarding e l'host non ricevono log

Se l'host e il forwarding non ricevono log, controlla lo stato della porta eseguendo per ciascuna porta il comando seguente:

  netstat -a | grep PORT

Sostituisci PORT con l'ID porta che vuoi controllare.

Se il comando non restituisce alcun output, significa che l'host non è in ascolto su quella porta e devi consultare l'amministratore di rete.

Se l'output del comando indica che l'host è in ascolto su una porta e il forwarding ancora non riceve i log, procedi nel seguente modo:

Arresta Docker eseguendo questo comando:
```
docker stop cfps
```
Esegui uno dei seguenti comandi in base alla configurazione della rete.

Per TCP:
```
nc -l PORT
```
Per UDP:
```
nc -l -u PORT
```
Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.
Riavvia il servizio esterno e controlla se il problema è stato risolto. Se il problema persiste, [contatta l'assistenza di Chronicle.

Il forwarding non riceve i log, ma l'host li riceve

Se l'host riceve i log, ma non il forwarding, significa che il forwarding non è in ascolto sulla porta specificata nel file di configurazione.

Per risolvere il problema:

Apri due finestre del terminale sul sistema, una per configurare il forwarding e una per inviare un messaggio di prova all'host.
1. Sul primo terminale (forwarder), avvia Docker senza avviare il forwarding eseguendo questo comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Specifica la porta su cui il forwarding deve rimanere in ascolto:
```
nc -l PORT
```
  Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.
Sul secondo terminale (host), invia il messaggio di prova sulla porta eseguendo questo comando:
```
echo "test message" | nc localhost PORT
```
Sostituisci PORT con l'ID porta di cui vuoi risolvere i problemi.

Esegui nuovamente il comando docker. Specifica il flag -p con le porte sulle quali il forwarding deve rimanere in ascolto eseguendo questo comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable