Esta página foi traduzida pela API Cloud Translation.

Resolver problemas comuns do encaminhador do Linux

Compatível com:

Google SecOps SIEM

Este documento ajuda você a reconhecer e resolver problemas comuns que podem surgir ao usar o encaminhador do Linux do Google Security Operations.

O encaminhador não inicia

O encaminhador não inicia e fica em um loop de reinicialização contínua com o seguinte erro nos registros:

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

Causa possível 1: mapeamento incorreto no arquivo de configuração

Para resolver esse problema, verifique se você está transmitindo o caminho correto para o arquivo de configuração e mapeando-o para uma pasta externa.

Possível causa 2: o SELinux está ativado

Verifique o arquivo de configuração entrando no contêiner sem iniciar o encaminhador e execute o comando a seguir:

docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_

Esse comando vai colocar você em um shell de dentro do contêiner.

Execute este comando:
```
ls -lrt /opt.chronicle/external/
```
Se você receber um erro de permissão negada, isso indica que o encaminhador não consegue abrir o arquivo de configuração e, portanto, não pode ser iniciado.

Para resolver esse problema, faça o seguinte:

Verifique o status do SELinux executando o seguinte comando:
```
  sestatus
```
Se o status do SELinux estiver ativado na saída, execute o seguinte comando para desativá-lo:
```
  setenforce 0
```

Registros que não chegam ao locatário do Google SecOps

Causa possível 1: resolução de DNS

Verifique se o host não consegue resolver endereços ou acessar o Google SecOps executando o seguinte comando:

  nslookup malachiteingestion-pa.googleapis.com

Se o comando falhar, entre em contato com sua equipe de rede para resolver o problema.

Possível causa 2: firewall

Verifique se o firewall local está bloqueando a comunicação entre o Google SecOps e o encaminhador executando o seguinte comando:

  firewall-cmd --state

Se o firewall estiver ativado, desative-o executando o seguinte comando:

  systemctl stop firewalld

Possível causa 3: tamanho do buffer

Verifique se é um problema de tamanho do buffer procurando o seguinte erro nos registros:

Memory ceiling (1073741824) reached, freeing a batch from the backlog

Para resolver esse problema, faça o seguinte:

Ative a compactação no arquivo de configuração do encaminhador.
Aumente o tamanho do buffer atualizando os parâmetros max_memory_buffer_bytes e max_file_buffer_bytes no arquivo de configuração. Esses parâmetros indicam o buffer de lotes de pendências armazenados na memória ou no disco.

O encaminhador e o host não estão recebendo registros

Se o host e o encaminhador não receberem registros, verifique o status da porta executando o seguinte comando para cada porta:

  netstat -a | grep PORT

Substitua PORT pelo ID da porta que você quer verificar.

Se o comando não gerar nenhuma saída, isso indica que o host não está escutando nessa porta. Consulte o administrador da rede.

Se a saída do comando indicar que o host está escutando em uma porta e o encaminhador ainda não estiver recebendo registros, faça o seguinte:

Pare o Docker executando o seguinte comando:
```
docker stop cfps
```
Execute um dos seguintes comandos com base na configuração de rede.

Para TCP:
```
nc -l PORT
```
Para UDP:
```
nc -l -u PORT
```
Substitua PORT pelo ID da porta que você quer resolver.
Reinicie o serviço externo e verifique se o problema foi resolvido. Se o problema persistir, entre em contato com o suporte do Google SecOps.

O encaminhador não está recebendo registros, mas o host está

Se o host estiver recebendo registros, mas o encaminhador não, isso indica que o encaminhador não está escutando na porta especificada no arquivo de configuração.

Para resolver esse problema, faça o seguinte:

Abra duas janelas de terminal no sistema, uma para configurar o encaminhador e outra para enviar uma mensagem de teste ao host.
1. No primeiro terminal (encaminhador), inicie o Docker sem iniciar o encaminhador executando o seguinte comando:
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. Especifique a porta que o encaminhador deve detectar:
```
nc -l PORT
```
  Substitua PORT pelo ID da porta que você quer resolver.
No segundo terminal (host), envie a mensagem de teste na porta executando o seguinte comando:
```
echo "test message" | nc localhost PORT
```
Substitua PORT pelo ID da porta que você quer resolver.

Execute novamente o comando docker. Especifique a flag -p com as portas em que o encaminhador vai ficar à escuta executando o seguinte comando:

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable