Getting Data In

突然Indexerのキューがfullになるようになった

cwl
Contributor

Splunk 7.1.0を使っています。best practiceに従い、search headからindexerにinternalログを送っていますが、特にデータ量が多くないときにもindexer側のqueueがfullになり、search headからinternalログを送れなくなることがあります。
原因と回避策を教えて頂けますか。

0 Karma
1 Solution

cwl
Contributor

何らかの理由で、indexer側でauthentication.confが定義されていますでしょうか。
定義されている場合、anonymous_referralsをデフォルトの1から0に変更してみてください。
簡単に変更できない場合、queue full問題が起きた際に、以下のscriptを使い、indexer側のsplunkdプロセスのpstackサンプルを採って見てください。

i=0; while [ $i -lt 100 ] ; do date > /tmp/pstack$i.out; pstack <splunkd PID> >> /tmp/pstack$i.out; let "i+=1"; sleep 1; done

pstackサンプルに大量のldap_chase_v3referralsが表示されている場合、anonymous_referrals=1が原因の可能性が高いですので、anonymous_referrals=0に変更し、indexerを再起動してみてください。
alt text

View solution in original post

0 Karma

cwl
Contributor

何らかの理由で、indexer側でauthentication.confが定義されていますでしょうか。
定義されている場合、anonymous_referralsをデフォルトの1から0に変更してみてください。
簡単に変更できない場合、queue full問題が起きた際に、以下のscriptを使い、indexer側のsplunkdプロセスのpstackサンプルを採って見てください。

i=0; while [ $i -lt 100 ] ; do date > /tmp/pstack$i.out; pstack <splunkd PID> >> /tmp/pstack$i.out; let "i+=1"; sleep 1; done

pstackサンプルに大量のldap_chase_v3referralsが表示されている場合、anonymous_referrals=1が原因の可能性が高いですので、anonymous_referrals=0に変更し、indexerを再起動してみてください。
alt text

0 Karma
Get Updates on the Splunk Community!

Get ready to show some Splunk Certification swagger at .conf24!

Dive into the deep end of data by earning a Splunk Certification at .conf24. We're enticing you again this ...

Built-in Service Level Objectives Management to Bridge the Gap Between Service & ...

Now On-Demand Join us to learn more about how you can leverage Service Level Objectives (SLOs) and the new ...

Database Performance Sidebar Panel Now on APM Database Query Performance & Service ...

We’ve streamlined the troubleshooting experience for database-related service issues by adding a database ...