Invoer voor DB-verbinding is gestopt met het verzenden van gebeurtenissen naar de indexeerder, maar andere ingangen voor DB-verbinding werken prima

toepasbaarheid

Splunk Enterprise Splunk DB Connect

Beschrijving

Invoer voor DB-verbinding is gestopt met het verzenden van gebeurtenissen naar de indexeerder, maar andere ingangen voor DB-verbinding werken prima

 

onderzoek

Hoe te identificeren:

Controleer de db_connect-logboeken (index=_internal sourceType=DBX*) voor berichten die lijken op het onderstaande voorbeeld:
 

2018-10-01 12:07:33.885 +0100 INFO c.s.dbx.server.task.listeners.JobMetricsListener - action=collect_job_metrics connection=XXXXX jdbc_url=null 
db_read_time=91 hec_record_process_time=826 format_hec_success_count=1000 status=FAILED input_name=XXXXXXXXX batch_size=1000 error_threshold=N/A 
is_jmx_monitoring=false start_time=2018-10-01_12:07:27 end_time=2018-10-12_01:07:30 duration=3193 read_count=2095000 write_count=0 filtered_count=0 error_count=0
....
2018-10-01 12:07:33.885 +0100 [QuartzScheduler_Worker-27] INFO org.easybatch.core.job.BatchJob - Job 'XXXXXX' finished with status: FAILED
.....
at com.splunk.dbx.server.dbinput.recordwriter.HecEventWriter.writeRecords(HecEventWriter.java:36)
at com.splunk.dbx.server.dbinput.recordwriter.HttpEventCollector.uploadEvents(HttpEventCollector.java:89)
at com.splunk.dbx.server.dbinput.recordwriter.HttpEventCollector.uploadEventBatch(HttpEventCollector.java:112)
java.io (https://java.io) .IOException: HTTP Error 400: Bad Request
2018-10-01 12:07:33.885 +0100 [QuartzScheduler_Worker-27] ERROR org.easybatch.core.job.BatchJob - Unable to write records

 

resolutie

Veroorzaakt door de volgende bug:

DBX-4614 - DBX 3.1.3-ingangen die de fout "HTTP-fout 400: slecht verzoek" weergeven wanneer een grote veldlengte wordt aangetroffen

Dit is een duplicaat van:

SPL-156315 [Regressie] Na de upgrade naar 7.x worden HEC-gebeurtenissen groter dan 512KB verlaagd met parseringsfouten, wat resulteert in een degradatie van de indexeringsdoorvoer

Als u probeert een gebeurtenis naar HEC te sturen die > 512KB is, wordt de gebeurtenis verwijderd. Als DBX de gebeurtenis via HEC verzendt en deze limiet bereikt, blijft het proberen de gebeurtenis te verzenden en mislukt, wat betekent dat er geen verdere gebeurtenissen worden geïndexeerd, tenzij de gebeurtenis handmatig wordt overgeslagen of een subtekenreeks van de kolom wordt verzonden.

Dit probleem is verholpen in Splunk 7.0.5 en hoger, 7.1.3 en hoger en 7.2.0 en hoger door de standaard maximale HEC-gebeurtenisgrootte te verhogen van 512K naar 5MB. Er is ook een nieuwe configuratieoptie maxEventSize toegevoegd aan inputs.conf om deze indien nodig te verhogen:


https://docs.splunk.com/Documentation/Splunk/latest/Admin/Inputsconf#http:_.28HTTP_Event_Collector.29
 

maxEventSize = <positive integer>[KB|MB|GB]
* The maximum size of a single HEC (HTTP Event Collector) event.
* HEC disregards and triggers a parsing error for events whose size is
greater than 'maxEventSize'.
* Default: 5MB.

 

Gerelateerde links

Splunk-documentatie

http: (HTTP (evenementenverzamelaar)
https://docs.splunk.com/Documentation/Splunk/latest/Admin/Inputsconf#http:_.28HTTP_Event_Collector.29

 

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	28-Sep-2026	Eerste vrijgave