ERRO: Não é possível adicionar pares de pesquisa: conexão redefinida pelo peer

Aplicabilidade

Empresa Splunk

Descrição

Tentando adicionar novos indexadores, bem como novos cabeçalhos de pesquisa no ambiente, os indexadores fazem parte do cluster, mas os cabeçalhos de pesquisa não estão configurados como um cluster.

Outros indexadores já estão definidos como pares para os cabeçalhos de pesquisa nas perguntas, mas os cabeçalhos de pesquisa têm outros indexadores como pares de pesquisa.

 

Investigação

• Verifique se a configuração de SSL está correta e se não há problemas relacionados à conectividade.
• Erros no splunkd.log show: Não foi possível estabelecer a conexão SSL; a conexão foi redefinida pelo par para o endereço IP do indexador.
• A configuração manual usando arquivos de configuração, assim como a configuração da GUI, falha.
• Confirme se https é usado para o URI dos indexadores, pois SSL está em uso.
• Confirme se os indexadores em questão estão configurados no modo de cluster.
• Cabeçalhos de pesquisa não estão clusterizados

Resolução

Como os indexadores estão agrupados, o cabeçalho de pesquisa deve ter o modo de cabeçalho de pesquisa habilitado em server.conf; caso contrário, o cluster indexador não reconhecerá a instância corretamente e recusará a solicitação de mesmo nível.

Lembre-se de que o cabeçalho de pesquisa precisa de uma estrofe de clustering, embora os cabeçalhos de pesquisa não estejam clusterizados.

1. Configure o arquivo server.conf da seguinte maneira

[clustering]
master_uri = https://x.x.x.x:xxxx (https://x.x.x.xxxxx)
mode = searchhead
pass4SymmKey= yourPass4SymmKey

master_uri = o URI mestre do cluster para o **cluster Indexadores**, os cabeçalhos de pesquisa são distribuídos não em cluster para este caso.
mode = necessário para definir o servidor no modo de cabeçalho de pesquisa para comunicação de cluster
pass4SymmKey = chave do cluster, os usuários devem adicionar sua própria chave para tal atributo

Links relacionados

Documentação do Splunk
Adicionar pares de pesquisa ao cabeçalho de pesquisa:
https://docs.splunk.com/Documentation/Splunk/7.3.0/DistSearch/Configuredistributedsearch

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	28-Sep-2026	Versão inicial