Universal forwarder가 자격 증명 패키지가 중복되어 Splunk Cloud에 데이터를 보낼 수 없습니다.

적용 가능성

설명

다음 오류 메시지는 TcpInputProc 구성 요소 아래의 인덱서 로그에서 사용할 수 있습니다.

ERROR TcpInputProc - Error encountered for connection from 
src=xxx.xxx.xxx.xxx:99999. error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number

Universal forwarders에서 다음 메시지가 splunkd.log에 표시되므로 인스턴스 간 TCP 연결이 설정될 수 있음을 확인합니다.

INFO TcpOutputProc - Removing quarantine from idx=xxx.xxx.xxx.xxx:9997ERROR TcpOutputFd - Read error. Connection reset by peerWARN TcpOutputProc - Applying quarantine to ip=xxx.xxx.xxx.xxx port=9997 _numberOfFailures=2WARN TcpOutputProc - The TCP output processor has paused the data flow. Forwarding to output 
group splunkcloud has been blocked for 82150 seconds. This will probably stall the data flow towards indexing and other network outputs. Review the receiving system's health in the Splunk Monitoring Console. It is probably not accepting data.ERROR TcpOutputProc - Processing server from outputs.conf: can't resolve a valid IP address 
for host="inputsN.<SplunkDeployment>.splunkcloud.com"

조사

다음은 output.conf가 자격 증명 패키지를 사용한 후의 모습이며 올바르게 구성된 것 같습니다.

[tcpout:splunkcloud]
compressed = false
server = inputs1.<SplunkDeployment>.splunkcloud.com:9997, inputs2.<SplunkDeployment>.splunkcloud.com:9997, 
inputs3.<SplunkDeployment>.splunkcloud.com:9997, inputs4.<SplunkDeployment>.splunkcloud.com:9997, 
inputs5.<SplunkDeployment>.splunkcloud.com:9997, inputs6.<SplunkDeployment>.splunkcloud.com:9997, 
inputs7.<SplunkDeployment>.splunkcloud.com:9997, inputs8.<SplunkDeployment>.splunkcloud.com:9997
sslCertPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_server.pem
sslCommonNameToCheck = *.<SplunkDeployment>.splunkcloud.com
sslPassword = DIAG_REDACTED_ENCRYPTED_PASSWORD
sslRootCAPath = $SPLUNK_HOME/etc/apps/100_splunk_splunkcloud/default/splunk_cacert.pem
sslVerifyServerCert = true etc/apps/100_splunk_splunkcloud/default/outputs.conf 
useClientSSLCompression = true

다음 메시지는 server.pem에 대한 경로가 올바른지 알면서도 (100_<SplunkDeployment>_splunkcloud 앱)을 인증하려고 시도하는 splunkd.log에도 있습니다.

ERROR SSLCommon - Can't read key file /opt/splunk/etc/apps/100_splunk_splunkcloud/default/<SplunkDeployment>_server.pem errno=151404653 error:0906406D:PEM routines:PEM_def_callback:problems getting password.

해결

Splunk Cloud에 연결할 수 없는 유니버설 전달자의 오류는 자격 증명 패키지가 올바르게 구성되지 않았기 때문에 발생한 것으로 보입니다.

이를 해결하려면 자격 증명 패키지를 인스턴스로 푸시해야 합니다. 인스턴스에 푸시할 새 패키지를 배포 서버에 배치하십시오. 배포 서버에 자격 증명 패키지를 설치하지 마십시오.

다음 단계를 수행하여 자격 증명 패키지를 개별적으로 설치할 수도 있습니다.
1) Splunk 클라우드 구축에 로그인합니다.
2) Linux용 Splunk Universal Forwarder를 다운로드합니다.
3) Linux용 Splunk Universal Forwarder를 설치합니다.
4) 유니버설 전달자 자격 증명을 다운로드하고 설치합니다.

Splunk Cloud Platform 범용 전달자 자격 증명 패키지 설치 및 구성

포트 9997은 유효하지 않은 인증서 비밀번호로 인해 열리지 않습니다. 따라서 자격 증명 패키지 SPL이 비밀번호를 두 번 해싱하는 다른 전달자에서 다시 사용되었으며 인덱서가 새 전달자를 인식할 수 없는 것으로 결론을 내립니다.