SplunkからSplunkにデータを送信する際にsplunkd.logに「ERROR TcpInputProc - Encountered Streaming S2S」が記録される

適用性

説明

06-21-2019 11:10:31.738 +0200 ERROR TcpInputProc - Encountered Streaming S2S error=Cannot register 
new_channel="source::perfdata|host:: xxxx.xx.xxx.xxx.xx (https://xxxxx.xx.xxxx.xxx.xx/) |sourcetype:
:nmon_data|145804": desired_field_count=14 conflicts with existing_field_count=0 for data received 
from src=10.121.200.154:50626.

調査

S2S通信は、nmonおよびIISの取り込みと直接関連しない場合があります。TcpInputProcなどのコンポーネントは、S2Sプロトコルメッセージなどのネットワーク情報を報告するログチャネルの1つです。 

HFからのTcpOutputProc（TCP出力プロセッサおよびFD）を報告するいくつかのイベントで、cookedデータの送信時にインデクサx.x.x.xへの接続タイムアウトが発生しています。 

Connection Refusedで警告の報告を開始し、最後に接続に失敗しました。
 

WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 

解決方法

このエラーメッセージは、Splunkがフィールドの一部を予期していて、誤った番号を受信した場合（この場合は0でした）に発生します。これは、通信、ネットワーク、またはビジー状態のリソースの不足が原因で発生する可能性があります。
​​​​​
TCPOuputProcとTcpOutputFdのコンポーネントは、設定されたサーバへのデータ転送を管理する出力プロセッサです。ポートは、主にUFとHFで使用されます。TCPポート上のファイル・ディスクリプタを管理し、読み取り/書き込みなどの操作を実行します。

S2S（splunkからsplunk）のエラーメッセージは、Splunkがフィールドの一部を予期していて、誤った番号を受信した場合（このケースでは0でした）にトリガーされる可能性があります。これは、ビジー状態のリソース、データを書き込むためのI/O領域の不足、または一般的にネットワークの変動が原因で、通信が行われないために発生する可能性があります。