Esta página foi traduzida pela API Cloud Translation.

Resolva problemas comuns do encaminhador Linux

Compatível com:

Google secops SIEM

Este documento ajuda a reconhecer e resolver problemas comuns que pode enfrentar ao usar o encaminhador Linux do Google Security Operations.

O encaminhador não é iniciado

O encaminhador não é iniciado e está num ciclo de reinício contínuo com o seguinte erro nos registos:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Possível causa 1: mapeamento incorreto no ficheiro de configuração

Para resolver este problema, certifique-se de que está a transmitir o caminho correto para o ficheiro de configuração e a mapeá-lo para uma pasta externa.

Causa possível 2: o SELinux está ativado

Verifique o ficheiro de configuração acedendo ao contentor sem iniciar o encaminhador e execute o seguinte comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Este comando coloca-o numa shell a partir do contentor.

Execute o seguinte comando:
```
ls -lrt /opt.chronicle/external/
```
Se receber um erro de autorização recusada, indica que o encaminhador não consegue abrir o ficheiro de configuração e, por isso, não consegue iniciar.

Para resolver este problema, faça o seguinte:

Verifique o estado do SELinux executando o seguinte comando:
```
  sestatus
```
Se o estado do SELinux estiver ativado no resultado, execute o seguinte comando para o desativar:
```
  setenforce 0
```

Os registos não chegam ao inquilino do Google SecOps

Causa possível 1: resolução de DNS

Verifique se o anfitrião não consegue resolver endereços ou alcançar o Google SecOps executando o seguinte comando:

  nslookup malachiteingestion-pa.googleapis.com

Se o comando falhar, contacte a sua equipa de rede para obter uma resolução.

Causa possível 2: firewall

Verifique se a firewall local está a bloquear a comunicação entre o Google SecOps e o encaminhador executando o seguinte comando:

  firewall-cmd --state

Se a firewall estiver ativada, desative-a executando o seguinte comando:

  systemctl stop firewalld

Causa possível 3: tamanho da memória intermédia

Verifique se é um problema de tamanho do buffer procurando o seguinte erro nos registos:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para resolver este problema, faça o seguinte:

Ative a compressão no ficheiro de configuração do encaminhador.
Aumente o tamanho do buffer atualizando os parâmetros max_memory_buffer_bytes e max_file_buffer_bytes no ficheiro de configuração. Estes parâmetros indicam a capacidade de armazenamento de lotes de tarefas pendentes que são armazenados na memória ou no disco.

O encaminhador e o anfitrião não estão a receber registos

Se o anfitrião e o encaminhador não receberem registos, verifique o estado da porta executando o seguinte comando para cada porta:

  netstat -a | grep PORT

Substitua PORT pelo ID da porta que quer verificar.

Se o comando não fornecer qualquer saída, indica que o anfitrião não está a ouvir nessa porta e deve consultar o administrador de rede.

Se o resultado do comando indicar que o anfitrião está a ouvir numa porta e o encaminhador ainda não estiver a receber registos, faça o seguinte:

Pare o Docker executando o seguinte comando:
```
docker stop cfps
```
Execute um dos seguintes comandos com base na configuração da sua rede.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Substitua PORT pelo ID da porta para o qual quer resolver problemas.
Reinicie o serviço externo e verifique se o problema está resolvido. Se o problema persistir, [contacte o apoio técnico do Google SecOps.

O encaminhador não está a receber registos, mas o anfitrião está a receber registos

Se o anfitrião estiver a receber registos, mas o encaminhador não, indica que o encaminhador não está a ouvir na porta especificada no ficheiro de configuração.

Para resolver este problema, faça o seguinte:

Abra duas janelas de terminal no seu sistema, uma para configurar o encaminhador e outra para enviar uma mensagem de teste para o anfitrião.
1. No primeiro terminal (encaminhador), inicie o Docker sem iniciar o encaminhador executando o seguinte comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifique a porta que o encaminhador deve escutar:
```
nc -l PORT
```
  Substitua PORT pelo ID da porta para o qual quer resolver problemas.
No segundo terminal (anfitrião), envie a mensagem de teste na porta executando o seguinte comando:
```
echo "test message" | nc localhost PORT
```
Substitua PORT pelo ID da porta para o qual quer resolver problemas.

Execute novamente o comando docker. Especifique a flag -p com as portas nas quais o encaminhador deve escutar executando o seguinte comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable