Il server d'inoltro universale non è in grado di inviare dati a Splunk Cloud a causa di un pacchetto di credenziali duplicato

Applicabilità

Descrizione

Il seguente messaggio di errore è disponibile nei log dell'indicizzatore nel componente TcpInputProc:

ERROR TcpInputProc - Error encountered for connection from 
src=xxx.xxx.xxx.xxx:99999. error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number

Nei server d'inoltro universali, il seguente messaggio è disponibile in splunkd.log, per confermare che è possibile stabilire la connettività TCP tra le istanze:

INFO TcpOutputProc - Removing quarantine from idx=xxx.xxx.xxx.xxx:9997ERROR TcpOutputFd - Read error. Connection reset by peerWARN TcpOutputProc - Applying quarantine to ip=xxx.xxx.xxx.xxx port=9997 _numberOfFailures=2WARN TcpOutputProc - The TCP output processor has paused the data flow. Forwarding to output 
group splunkcloud has been blocked for 82150 seconds. This will probably stall the data flow towards indexing and other network outputs. Review the receiving system's health in the Splunk Monitoring Console. It is probably not accepting data.ERROR TcpOutputProc - Processing server from outputs.conf: can't resolve a valid IP address 
for host="inputsN.<SplunkDeployment>.splunkcloud.com"

Indagine

Di seguito viene riportato l'aspetto di outputs.conf dopo l'utilizzo del pacchetto di credenziali, che sembra essere configurato correttamente:

[tcpout:splunkcloud]
compressed = false
server = inputs1.<SplunkDeployment>.splunkcloud.com:9997, inputs2.<SplunkDeployment>.splunkcloud.com:9997, 
inputs3.<SplunkDeployment>.splunkcloud.com:9997, inputs4.<SplunkDeployment>.splunkcloud.com:9997, 
inputs5.<SplunkDeployment>.splunkcloud.com:9997, inputs6.<SplunkDeployment>.splunkcloud.com:9997, 
inputs7.<SplunkDeployment>.splunkcloud.com:9997, inputs8.<SplunkDeployment>.splunkcloud.com:9997
sslCertPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_server.pem
sslCommonNameToCheck = *.<SplunkDeployment>.splunkcloud.com
sslPassword = DIAG_REDACTED_ENCRYPTED_PASSWORD
sslRootCAPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_cacert.pem
sslVerifyServerCert = true etc/apps/100_splunk_splunkcloud/default/outputs.conf 
useClientSSLCompression = true

Anche i messaggi seguenti si trovano su splunkd.log e tentano di autenticare l'app (100_<SplunkDeployment>_splunkcloud), anche se il percorso di server.pem è corretto.

ERROR SSLCommon - Can't read key file /opt/splunk/etc/apps/100_splunk_splunkcloud/default/<SplunkDeployment>_server.pem errno=151404653 error:0906406D:PEM routines:PEM_def_callback:problems getting password.

Risoluzione

Gli errori nel server d'inoltro universale che non è in grado di connettersi a Splunk Cloud sembrano essere causati dalla configurazione non corretta del pacchetto di credenziali.

Per risolverlo, è necessario eseguire il push del pacchetto di credenziali nelle istanze. Inserire il nuovo pacchetto nel server di distribuzione da inserire nelle istanze. Non installare i pacchetti di credenziali nel server di distribuzione.

È inoltre possibile installare singolarmente il pacchetto di credenziali eseguendo la procedura seguente:
1) Accedere alla distribuzione di Splunk Cloud
2) Scaricare Splunk Universal Forwarder per Linux.
3) Installare Splunk Universal Forwarder per Linux.
4) Scaricare e installare le credenziali del server d'inoltro universale.

Installare e configurare il pacchetto di credenziali del server di inoltro universale della piattaforma Splunk Cloud

La porta 9997 non si aprirà a causa di una password del certificato non valida. Si è pertanto concluso che l'SPL del pacchetto di credenziali è stato riutilizzato in un altro server di inoltro che ha eseguito due volte l'hashing della password e che ora gli indicizzatori non sono in grado di riconoscere il nuovo server di inoltro.