從Splunk向Splunk傳送資料時，splunkd.log中的「錯誤TcpInputProc — 遇到流S2S」

適用性

說明

06-21-2019 11:10:31.738 +0200 ERROR TcpInputProc - Encountered Streaming S2S error=Cannot register 
new_channel="source::perfdata|host:: xxxx.xx.xxx.xxx.xx (https://xxxxx.xx.xxxx.xxx.xx/) |sourcetype:
:nmon_data|145804": desired_field_count=14 conflicts with existing_field_count=0 for data received 
from src=10.121.200.154:50626.

調查

S2S通訊可能與nmon和IIS的接收沒有直接關係，TcpInputProc等元件是報告網路資訊（如S2S協定消息）的日誌通道之一。 

有若干事件報告，在傳送已處理資料時，來自HF的TcpOutputProc（TCP輸出處理器和FD）正在遇到到索引器x.x.x.x的連線超時。 

它開始報告連線被拒絕的警告，最後連線失敗。
 

WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
ERROR TcpOutputFd - Connection to host=x.x.x.x:10101 failed 
WARN TcpOutputFd - Connect to x.x.x.x:10101 failed. Connection refused 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 
WARN TcpOutputProc - Cooked connection to ip=x.x.x.x:10101 timed out 

解析

當Splunk需要一些欄位，但收到錯誤的數字時，可能會觸發此錯誤消息。在本例中，該數字為0。這可能是由於缺少通訊、網路或資源繁忙造成的。
​​​​​ ​
作為TCPOupputProc和TcpOutputFd元件，輸出處理器管理將資料轉發到已配置的伺服器：埠，主要用於UF和HF。它們管理TCP埠上的檔案描述符，並執行諸如讀/寫之類的操作。

當Splunk需要一些欄位並且它收到錯誤的數字（在本例中為0）時，可能會觸發S2S(splunk to splunk)錯誤消息。這可能是由於資源繁忙、I/O缺少寫入資料的空間或通常的網路波動而導致通訊不足造成的。