Questa pagina è stata tradotta dall'API Cloud Translation.

Risolvere i problemi comuni del forwarder Linux

Supportato in:

Google secops SIEM

Questo documento ti aiuta a riconoscere e risolvere i problemi comuni che potresti riscontrare durante l'utilizzo del forwarder Linux di Google Security Operations.

L'inoltro non si avvia

L'inoltro non viene avviato e si trova in un ciclo di riavvio continuo con il seguente errore nei log:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Possibile causa 1: mappatura errata nel file di configurazione

Per risolvere il problema, assicurati di passare il percorso corretto al file di configurazione e di mapparlo a una cartella esterna.

Possibile causa 2: SELinux è abilitato

Controlla il file di configurazione accedendo al container senza avviare il forwarder ed esegui il comando seguente:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Questo comando ti inserirà in una shell dall'interno del container.

Esegui questo comando:
```
ls -lrt /opt.chronicle/external/
```
Se ricevi un errore di autorizzazione negata, significa che il forwarder non è in grado di aprire il file di configurazione e quindi non può essere avviato.

Per risolvere il problema:

Controlla lo stato di SELinux eseguendo questo comando:
```
  sestatus
```
Se lo stato di SELinux è abilitato nell'output, esegui il seguente comando per disattivarlo:
```
  setenforce 0
```

I log non raggiungono il tenant Google SecOps

Possibile causa 1: risoluzione DNS

Controlla se l'host non è in grado di risolvere gli indirizzi o di raggiungere Google SecOps eseguendo il seguente comando:

  nslookup malachiteingestion-pa.googleapis.com

Se il comando non va a buon fine, contatta il team di networking per la risoluzione.

Possibile causa 2: firewall

Controlla se il firewall locale blocca la comunicazione tra Google SecOps e il forwarder eseguendo il seguente comando:

  firewall-cmd --state

Se il firewall è abilitato, disabilitalo eseguendo questo comando:

  systemctl stop firewalld

Possibile causa 3: dimensione del buffer

Controlla se si tratta di un problema di dimensione del buffer cercando il seguente errore nei log:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Per risolvere il problema:

Attiva la compressione nel file di configurazione dell'agente di inoltro.
Aumenta le dimensioni del buffer aggiornando i parametri max_memory_buffer_bytes e max_file_buffer_bytes nel file di configurazione. Questi parametri indicano il buffer dei batch arretrati archiviati nella memoria o sul disco.

L'inoltratore e l'host non ricevono i log

Se l'host e l'inoltratore non ricevono i log, controlla lo stato della porta eseguendo il seguente comando per ogni porta:

  netstat -a | grep PORT

Sostituisci PORT con l'ID porta che vuoi controllare.

Se il comando non produce alcun output, significa che l'host non è in ascolto su quella porta e devi consultare l'amministratore di rete.

Se l'output del comando indica che l'host è in ascolto su una porta e il forwarder non riceve ancora i log, procedi nel seguente modo:

Arresta Docker eseguendo questo comando:
```
docker stop cfps
```
Esegui uno dei seguenti comandi in base alla configurazione di rete.

Per TCP:
```
nc -l PORT
```
Per UDP:
```
nc -l -u PORT
```
Sostituisci PORT con l'ID porta per cui vuoi risolvere il problema.
Riavvia il servizio esterno e controlla se il problema è stato risolto. Se il problema persiste, [contatta l'assistenza Google SecOps.

L'inoltratore non riceve i log, ma l'host sì

Se l'host riceve i log, ma il forwarder no, significa che il forwarder non è in ascolto sulla porta specificata nel file di configurazione.

Per risolvere il problema:

Apri due finestre del terminale sul sistema, una per configurare l'inoltro e l'altra per inviare un messaggio di prova all'host.
1. Nel primo terminale (forwarder), avvia Docker senza avviare il forwarder eseguendo questo comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Specifica la porta su cui deve rimanere in ascolto il forwarder:
```
nc -l PORT
```
  Sostituisci PORT con l'ID porta per cui vuoi risolvere il problema.
Nel secondo terminale (host), invia il messaggio di test sulla porta eseguendo il seguente comando:
```
echo "test message" | nc localhost PORT
```
Sostituisci PORT con l'ID porta per cui vuoi risolvere il problema.

Esegui di nuovo il comando docker. Specifica il flag -p con le porte su cui il forwarder deve rimanere in ascolto eseguendo il seguente comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable