Esta página foi traduzida pela API Cloud Translation.

Resolver problemas comuns do encaminhador do Linux

Compatível com:

Google SecOps SIEM

Este documento ajuda a reconhecer e resolver problemas comuns que podem ocorrer ao usar o forwarder do Linux das operações de segurança do Google.

O encaminhador não é iniciado

O encaminhador não é iniciado e está em um loop de reinicialização contínua com o seguinte erro nos registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Causa possível 1: mapeamento incorreto no arquivo de configuração

Para resolver esse problema, verifique se você está transmitindo o caminho correto para o arquivo de configuração e mapeando-o para uma pasta externa.

Possível causa 2: o SELinux está ativado

Para verificar o arquivo de configuração, entre no contêiner sem iniciar o encaminhador e execute o seguinte comando:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Esse comando coloca você em um shell dentro do contêiner.

Execute este comando:
```
ls -lrt /opt.chronicle/external/
```
Se você receber um erro de permissão negada, isso indica que o encaminhador não consegue abrir o arquivo de configuração e, portanto, não pode ser iniciado.

Para resolver esse problema, faça o seguinte:

Para verificar o status do SELinux, execute o seguinte comando:
```
  sestatus
```
Se o status do SELinux estiver ativado na saída, execute o seguinte comando para desativá-lo:
```
  setenforce 0
```

Os registros não estão chegando ao locatário do Google Security Operations

Possível causa 1: resolução de DNS

Para verificar se o host não consegue resolver endereços ou acessar as operações de segurança do Google, execute o seguinte comando:

  nslookup malachiteingestion-pa.googleapis.com

Se o comando falhar, entre em contato com a equipe de rede para resolver o problema.

Possível causa 2: firewall

Para verificar se o firewall local está bloqueando a comunicação entre as operações de segurança do Google e o encaminhador, execute o seguinte comando:

  firewall-cmd --state

Se o firewall estiver ativado, desative-o executando o seguinte comando:

  systemctl stop firewalld

Possível causa 3: tamanho do buffer

Para verificar se o problema é de tamanho de buffer, procure o seguinte erro nos registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para resolver esse problema, faça o seguinte:

Ative a compactação no arquivo de configuração do forwarder.
Aumente o tamanho do buffer atualize os parâmetros max_memory_buffer_bytes e max_file_buffer_bytes no arquivo de configuração. Esses parâmetros indicam o buffer de lotes de pendências armazenados na memória ou no disco.

O encaminhador e o host não recebem registros

Se o host e o encaminhador não receberem registros, verifique o status da porta executando o seguinte comando para cada porta:

  netstat -a | grep PORT

Substitua PORT pelo ID da porta que você quer verificar.

Se o comando não gerar nenhuma saída, isso indica que o host não está atendendo a essa porta e que você precisa consultar o administrador de rede.

Se a saída do comando indicar que o host está ouvindo em uma porta e o encaminhador ainda não estiver recebendo registros, faça o seguinte:

Pare o Docker executando o seguinte comando:
```
docker stop cfps
```
Execute um dos comandos abaixo com base na configuração da rede.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Substitua PORT pelo ID da porta que você quer resolver.
Reinicie o serviço externo e verifique se o problema foi resolvido. Se o problema persistir, entre em contato com o suporte do Google Security Operations.

O encaminhador não recebe registros, mas o host recebe

Se o host estiver recebendo registros, mas o encaminhador não, isso indica que o encaminhador não está escutando na porta especificada no arquivo de configuração.

Para resolver esse problema, faça o seguinte:

Abra duas janelas do terminal no sistema, uma para configurar o encaminhador e outra para enviar uma mensagem de teste ao host.
1. No primeiro terminal (forwarder), inicie o Docker sem iniciar o forwarder executando o seguinte comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifique a porta que o encaminhador precisa detectar:
```
nc -l PORT
```
  Substitua PORT pelo ID da porta que você quer resolver.
No segundo terminal (host), envie a mensagem de teste na porta executando o seguinte comando:
```
echo "test message" | nc localhost PORT
```
Substitua PORT pelo ID da porta que você quer resolver.

Execute novamente o comando docker. Especifique a flag -p com as portas em que o encaminhador precisa escutar executando o seguinte comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable