De indexeerders gingen vaak omlaag en het volgende bericht verscheen: De indexprocessor heeft de gegevensstroom onderbroken.

toepasbaarheid

Beschrijving

throttled - The index processor has paused data flow. 
Too many tsidx files in idx=firewall bucket="/data1/splunk/firewall/db/hot_v1_XXX", waiting for the splunk-optimize indexing helper to catch up merging them. 
Ensure reasonable disk space is available, and that I/O write throughput is not compromised.

onderzoek

Het probleem waarmee we in het volgende Splunk-document worden geconfronteerd: Indexeerders en clusters van indexeerders beheren. Het heeft te maken met het optimaliseren van taken door indexen.

U kunt de volgende link als referentie bekijken:
Index optimaliseren
https://docs.splunk.com/Documentation/Splunk/latest/Indexer/Optimizeindexes

Uit het document vloeit voort dat de volgende overwegingen in aanmerking moeten worden genomen:

• Het voorgestelde commando moet op elke Indexer worden uitgevoerd.

• Het commando werkt goed op hete emmers. Je kunt het dus uitvoeren zonder Splunk op de Indexers te stoppen.

• U kunt het echter ook handmatig op warme emmers uitvoeren.

resolutie

$splunk-optimize -d|--directory <bucket_directory> --> general structure

$splunk-optimize -d /data1/splunk/firewall/db