Le redirecteur universel ne peut pas envoyer de données au cloud Splunk en raison d'un package d'identifiants dupliqué

Applicabilité

Description

Le message d'erreur suivant est disponible dans les journaux de l'indexeur sous le composant TcpInputProc :

ERROR TcpInputProc - Error encountered for connection from 
src=xxx.xxx.xxx.xxx:99999. error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number

Dans les redirecteurs universels, les messages suivants sont sur splunkd.log, confirmant que la connectivité TCP entre les instances peut être établie :

INFO TcpOutputProc - Removing quarantine from idx=xxx.xxx.xxx.xxx:9997ERROR TcpOutputFd - Read error. Connection reset by peerWARN TcpOutputProc - Applying quarantine to ip=xxx.xxx.xxx.xxx port=9997 _numberOfFailures=2WARN TcpOutputProc - The TCP output processor has paused the data flow. Forwarding to output 
group splunkcloud has been blocked for 82150 seconds. This will probably stall the data flow towards indexing and other network outputs. Review the receiving system's health in the Splunk Monitoring Console. It is probably not accepting data.ERROR TcpOutputProc - Processing server from outputs.conf: can't resolve a valid IP address 
for host="inputsN.<SplunkDeployment>.splunkcloud.com"

Enquête

Voici comment le fichier output.conf se comporte après l'utilisation du package d'informations d'identification, qui semble être correctement configuré :

[tcpout:splunkcloud]
compressed = false
server = inputs1.<SplunkDeployment>.splunkcloud.com:9997, inputs2.<SplunkDeployment>.splunkcloud.com:9997, 
inputs3.<SplunkDeployment>.splunkcloud.com:9997, inputs4.<SplunkDeployment>.splunkcloud.com:9997, 
inputs5.<SplunkDeployment>.splunkcloud.com:9997, inputs6.<SplunkDeployment>.splunkcloud.com:9997, 
inputs7.<SplunkDeployment>.splunkcloud.com:9997, inputs8.<SplunkDeployment>.splunkcloud.com:9997
sslCertPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_server.pem
sslCommonNameToCheck = *.<SplunkDeployment>.splunkcloud.com
sslPassword = DIAG_REDACTED_ENCRYPTED_PASSWORD
sslRootCAPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_cacert.pem
sslVerifyServerCert = true etc/apps/100_splunk_splunkcloud/default/outputs.conf 
useClientSSLCompression = true

Les messages suivants figurent également sur le site splunkd.log qui tente d'authentifier l'application (100_<SplunkDeployment>_splunkcloud), même s'il sait que le chemin d'accès au serveur.pem était correct.

ERROR SSLCommon - Can't read key file /opt/splunk/etc/apps/100_splunk_splunkcloud/default/<SplunkDeployment>_server.pem errno=151404653 error:0906406D:PEM routines:PEM_def_callback:problems getting password.

Résolution

Les erreurs sur le redirecteur universel qui ne peut pas se connecter au cloud Splunk semblent être causées par le package d'informations d'identification qui n'est pas configuré correctement.

Pour le résoudre, le package d'informations d'identification doit être envoyé aux instances. Placez le nouveau package dans le serveur de déploiement pour qu'il soit envoyé aux instances, n'installez pas les packages d'informations d'identification dans le serveur de déploiement.

Le package d'informations d'identification peut également être installé individuellement en procédant comme suit :
1) Connectez-vous à votre déploiement Splunk Cloud
2) Téléchargez le Splunk Universal Forwarder pour Linux.
3) Installez le Splunk Universal Forwarder pour Linux.
4) Téléchargez et installez les informations d'identification du redirecteur universel.

Installer et configurer le package d'informations d'identification du redirecteur universel Splunk Cloud Platform

Le port 9997 ne s'ouvre pas en raison d'un mot de passe de certificat non valide. Par conséquent, il est conclu que le paquet d'informations d'identification SPL a été réutilisé dans un autre redirecteur en hachant le mot de passe deux fois et que les indexeurs ne peuvent plus reconnaître le nouveau redirecteur.