Linux フォワーダーの一般的な問題のトラブルシューティング

このページは、Google Security Operations Linux フォワーダーの使用中に発生する可能性のある一般的な問題を認識してトラブルシューティングするのに役立ちます。

フォワーダーが起動しない

フォワーダーが起動に失敗し、ログに次のエラーが表示されて再起動ループが継続している。

F0510 06:17:39.013603 202 main_linux.go:153] open /opt/chronicle/external/*.conf: no such file or directory

考えられる原因 1: 構成ファイルのマッピングが間違っている

この問題を解決するには、構成ファイルに正しいパスを渡して外部フォルダにマッピングしていることを確認します。

考えられる原因 2: SELinux が有効になっている

フォワーダーを起動せずにコンテナに移動して構成ファイルを確認し、次のコマンドを実行します。
```
docker run --name cfps --log-opt max-size=100m --log-opt   max-file=10 --net=host -v ~/configuration:/opt/chronicle/external --entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_
```
このコマンドで、コンテナ内からシェルに移動します。
次のコマンドを実行します。
```
ls -lrt /opt.chronicle/external/
```
アクセス拒否エラーが発生した場合は、フォワーダーが構成ファイルを開けず、起動できないことを示しています。

この問題を解決するには、次の操作を行います。

次のコマンドを実行して、SELinux のステータスを確認します。
```
  sestatus
```
SELinux のステータスが出力で有効になっている場合は、次のコマンドを実行して無効にします。
```
  setenforce 0
```

ログが Google Security Operations テナントに到達しない

考えられる原因 1: DNS の解決

次のコマンドを実行して、ホストがアドレスを解決できないか、または Google Security Operations にアクセスできないかを確認します。

  nslookup malachiteingestion-pa.googleapis.com

コマンドが失敗した場合は、ネットワークチームに解決を依頼してください。

考えられる原因 2: ファイアウォール

次のコマンドを実行して、ローカルファイアウォールが Google Security Operations とフォワーダー間の通信をブロックしているかを確認します。

  firewall-cmd --state

ファイアウォールが有効になっている場合は、次のコマンドを実行して無効にします。

  systemctl stop firewalld

考えられる原因 3: バッファサイズ

ログで次のエラーを探して、バッファサイズの問題であるかどうかを確認します。

Memory ceiling (1073741824) reached, freeing a batch from the backlog

この問題を解決するには、次の操作を行います。

フォワーダー構成ファイルで圧縮を有効にします。
構成ファイルの max_memory_buffer_bytes パラメータと max_file_buffer_bytes パラメータを更新して、バッファサイズを増やします。これらのパラメータは、メモリまたはディスクに保存されているバックログバッチのバッファを示します。

フォワーダーとホストがログを受信しない

ホストとフォワーダーがログを受信しない場合は、ポートごとに次のコマンドを実行してポートのステータスを確認します。

  netstat -a | grep PORT

PORT は、確認するポート ID に置き換えます。

このコマンドから出力が表示されない場合は、ホストがそのポートでリッスンしていないことを示しているため、ネットワーク管理者に相談する必要があります。

コマンドの出力に、ホストがポートをリッスンしていて、フォワーダーがログを受信していないことが示されている場合は、次の操作を行います。

次のコマンドを実行して Docker を停止します。
```
docker stop cfps
```
ネットワーク設定に基づいて、次のいずれかのコマンドを実行します。

TCP の場合:
```
nc -l PORT
```
UDP の場合:
```
nc -l -u PORT
```
PORT は、トラブルシューティングするポート ID に置き換えます。
外部サービスを再起動し、問題が解決したかどうかを確認します。問題が解決しない場合は、Google Security Operations サポートにお問い合わせください。

フォワーダーはログを受信していないがホストはログを受信している

ホストがログを受信していて、フォワーダーが受信していない場合は、フォワーダーが構成ファイルで指定されたポートでリッスンしていないことを示します。

この問題を解決するには、次の操作を行います。

システム上で 2 つのターミナルウィンドウを開きます。1 つはフォワーダーの構成用で、もう 1 つはホストへのテストメッセージの送信用です。
1. 最初のターミナル（フォワーダー）で、次のコマンドを実行してフォワーダーを起動せずに Docker を起動します。
```
docker run \
--name cfps \
--log-opt max-size=100m \
--log-opt max-file=10 \
--net=host \
-v ~/config:/opt/chronicle/external \
--entrypoint=/bin/bash \
-it gcr.io/chronicle-container/cf_production_stable
```
2. フォワーダーがリッスンするポートを指定します。
```
nc -l PORT
```
  PORT は、トラブルシューティングするポート ID に置き換えます。
2 番目のターミナル（ホスト）で、次のコマンドを実行して、ポートでテストメッセージを送信します。
```
echo "test message" | nc localhost PORT
```
PORT は、トラブルシューティングするポート ID に置き換えます。

docker コマンドを再実行します。次のコマンドを実行して、フォワーダーがリッスンするポートで -p フラグを指定します。

docker run \
--detach \
–name cfps \
--restart=always \
--log-opt max-size=100m \
--log-opt max-file=10 --net=host \
—v /root/config:/opt/chronicle/external \
-p 11500:11800 \
gcr.io/chronicle-container/cf_production_stable