Splunk에서 Splunk로 데이터를 보낼 때 splunkd.log에서 "ERROR TcpInputProc - Encountered Streaming S2S"(오류 TcpInputProc - 스트리밍 S2S 발생)"

적용 가능성

설명

06-21-2019 11:10:31.738 +0200 ERROR TcpInputProc - Encountered Streaming S2S error=Cannot register 
new_channel="source::perfdata|host:: xxxx.xx.xxx.xxx.xx (https://xxxxx.xx.xxxx.xxx.xx/) |sourcetype:
:nmon_data|145804": desired_field_count=14 conflicts with existing_field_count=0 for data received 
from src=10.121.200.154:50626.

조사

S2S 통신은 TcpInputProc와 같은 구성 요소가 S2S 프로토콜 메시지와 같은 네트워크 정보를 보고하는 로그 채널 중 하나인 nmon 및 IIS 수집과 직접 관련이 없을 수 있습니다. 

HF의 TcpOutputProc(TCP 출력 프로세서 및 FD)를 보고하는 몇 가지 이벤트가 있습니다. 이 이벤트에서는 조리된 데이터를 전송할 때 인덱서 x.x.x.x.x에 대한 연결 시간 초과가 발생합니다. 

Connection Rejected(연결이 거부됨) 상태의 경고를 보고하기 시작했으며, 마지막으로 연결에 실패했습니다.
 

WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 

해결

이 오류 메시지는 Splunk에서 일부 필드가 필요한데 잘못된 번호를 수신한 경우 트리거될 수 있습니다. 이 경우에는 번호가 0입니다. 통신, 네트워크 또는 사용 중인 리소스가 부족하기 때문일 수 있습니다.
​​​​​
TCPOuputProc 및 TcpOutputFd 구성 요소는 구성된 서버(주로 UF 및 HF에서 사용되는 포트)로의 데이터 전달을 관리하는 출력 프로세서입니다. TCP 포트에서 파일 설명자를 관리하고 읽기/쓰기 등의 작업을 수행합니다.

S2S(splunk to splunk) 오류 메시지는 Splunk에서 일부 필드가 예상되고 잘못된 번호가 수신될 때 트리거될 수 있습니다. 이 경우에는 0입니다. 이는 바쁜 리소스, 데이터를 쓸 수 있는 I/O 공간 부족 또는 일반적으로 네트워크 변동으로 인한 통신 부족으로 인해 발생할 수 있습니다.