SUSE Linux12.4 上的 Splunk 7.2.9.1 通用转发器在一段时间后不通信并将日志转发到 Indexer

Question

我注意到 SUSE Linux12.4 上的 Splunk 7.2.9.1 通用转发器在一段时间后没有与部署服务器通信并将日志转发到索引器。此问题仍然存在时，“splunkd”进程似乎正在运行。 我必须重新启动 UFW 才能恢复与部署和转发日志的通信。但这会在一段时间后再次停止通信。

发生此问题时，我在 splunkd.log 中看不到任何特定日志。 但是，我注意到来自 watchdog.log 的以下消息

06-16-2020 11:51:09.055 +0200 错误看门狗 - 在 8000 毫秒内未收到来自 IMonitoredThread=0x7f24365fdcd0 的响应。看起来 thread name='Shutdown' 很忙！？以 8000 毫秒的间隔开始跟踪。

有人可以帮助了解导致此问题的原因吗？

Answer 1

这似乎是一个已知问题。来自 7.2.9.1 发行说明：

通用转发器全天停止重复发送数据

解决方法：在 limits.conf 中，尝试更改 file_tracking_db_threshold_mb 在 [inputproc] 节中设置为较低的值。 我没有找到未将其列为已知问题的版本。