Getting Data In

突然Indexerのキューがfullになるようになった

cwl
Contributor

Splunk 7.1.0を使っています。best practiceに従い、search headからindexerにinternalログを送っていますが、特にデータ量が多くないときにもindexer側のqueueがfullになり、search headからinternalログを送れなくなることがあります。
原因と回避策を教えて頂けますか。

0 Karma
1 Solution

cwl
Contributor

何らかの理由で、indexer側でauthentication.confが定義されていますでしょうか。
定義されている場合、anonymous_referralsをデフォルトの1から0に変更してみてください。
簡単に変更できない場合、queue full問題が起きた際に、以下のscriptを使い、indexer側のsplunkdプロセスのpstackサンプルを採って見てください。

i=0; while [ $i -lt 100 ] ; do date > /tmp/pstack$i.out; pstack <splunkd PID> >> /tmp/pstack$i.out; let "i+=1"; sleep 1; done

pstackサンプルに大量のldap_chase_v3referralsが表示されている場合、anonymous_referrals=1が原因の可能性が高いですので、anonymous_referrals=0に変更し、indexerを再起動してみてください。
alt text

View solution in original post

0 Karma

cwl
Contributor

何らかの理由で、indexer側でauthentication.confが定義されていますでしょうか。
定義されている場合、anonymous_referralsをデフォルトの1から0に変更してみてください。
簡単に変更できない場合、queue full問題が起きた際に、以下のscriptを使い、indexer側のsplunkdプロセスのpstackサンプルを採って見てください。

i=0; while [ $i -lt 100 ] ; do date > /tmp/pstack$i.out; pstack <splunkd PID> >> /tmp/pstack$i.out; let "i+=1"; sleep 1; done

pstackサンプルに大量のldap_chase_v3referralsが表示されている場合、anonymous_referrals=1が原因の可能性が高いですので、anonymous_referrals=0に変更し、indexerを再起動してみてください。
alt text

0 Karma
Get Updates on the Splunk Community!

New Learning Videos on Topics Most Requested by You! Plus This Month’s New Splunk ...

Splunk Lantern is a customer success center that provides advice from Splunk experts on valuable data ...

How I Instrumented a Rust Application Without Knowing Rust

As a technical writer, I often have to edit or create code snippets for Splunk's distributions of ...

Splunk Community Platform Survey

Hey Splunk Community, Starting today, the community platform may prompt you to participate in a survey. The ...