About cwl

cwl · ‎03-11-2014

Your socket might have timed out. If a client requests a page, then idles (leaves the connection open), connection will be dropped after socket_timeout. Default value of socket_timeout is 10 seconds but you can increase this value by adding server.socket_timeout in local/web.conf.

cwl · ‎03-11-2014

I am using Splunk 5.0.4 and accessing splunkweb with IE8. I am trying to export my search results to csv but every time I click "export" button and take some time to click "save" button of IE8's download popup screen, the content of exported csv will be incomplete. Does anyone know how to fix this issue ?

cwl · ‎03-11-2014

Since you are using your deployment server in windows I am assuming you have a dedicated deployment server. Is my assumption correct ? Do you see any errors in splunkd.log when the issue happens ? What you see when you run "netstat -oan" ? Also make sure your deployment server is not also set as a deployment client.

cwl · ‎02-24-2014

When you enable useACK, you have to increase your forwarder's maxQueueSize to 7MB in outputs.conf to ensure your forwarder does not get blocked while waiting for acknowledgment from an indexer. [tcpout] maxQueueSize = 7MB Please refer below documentation for details and note that this is adjusted automatically in 5.0.4 and beyond. link:Configure the wait queue size

cwl · ‎02-24-2014

We are using 5.0.3 universal forwarder to send data to our 5.0.3 cluster environment. We have enabled useACK because it is recommended as mentioned in splunk's documentation when using cluster but after enabling useACK we are seeing's our universal forwarder's parsing queue and tcpout queue quite full and data is getting indexed with delays. We have already set thruput value in limits.conf to "maxKBps = 0" and we have checked with our network administrator that we don't have any network issues. Our indexers seem to be working fine without any full queues. How can I fix this issue ?

cwl · ‎02-21-2014

This is a bug in the cherrypy threading code where the number of worker threads are reduced to a really low amount and no new threads are allowed to spawn. This has been fixed in 5.0.3 but if you are using versions pre-5.0.3 then you can workaround the issue by modifying web.conf on all of the search heads. Please add below settings in web.conf and restart your splunk instance. server.thread_pool_max = 30 server.thread_pool_max_spare = 31

cwl · ‎02-21-2014

I am using Splunk 5.0.2 and I see many CLOSE_WAIT when running netstat -an command. Splunkweb becomes unresponsive and I have to restart splunk to fix the issue.

cwl · ‎01-28-2014

kueharaさん、以下の回答内容で問題が解消されましたでしょうか。解消された場合、お手数ですが、回答済みのチェックを入れて頂くことは可能でしょうか。

cwl · ‎01-15-2014

"earliest=0" is a special case in the search language and should not be used. Please replace all instances of "earliest=0" with "earliest=1" in search syntax.

cwl · ‎01-15-2014

When I did a search like "index=_internal earliest=0" + "Last 15 minutes" in drop down menu I could not see below message that I usually see when time range is overridden. I was expecting to see result from all times but I could see only last 15 minutes of search result. Your timerange was substituted based on your search string

cwl · ‎12-18-2013

以下のAnswersが参考になるかもしれません。inputs.conf内のtime_before_closeのデフォルト値（３秒）を５から６秒くらいに増やしてみてください。 http://answers.splunk.com/answers/103132/events-are-broken-in-the-middle-of-the-line

cwl · ‎11-11-2013

indexes.confのcoldPathやhomePathの最後の文字が「/」になっているかを確認してください。「/」をつけてある場合、SPL-74785の問題が発生している可能性が高いです。 coldPath = volume:volumecold/xxx/ homePath = volume:volumehot/xxx/ 回避策としては最後の「/」を消すことです。また、SPL-74785の問題は5.0.7で修正されます。 coldPath = volume:volumecold/xxx homePath = volume:volumehot/xxx You might be hitting SPL-74785. The issue should be fixed in 5.0.7. Please remove the last / character from coldPath and homePath in indexes.conf as workaround. Not use : coldPath = volume:volumecold/xxx/ homePath = volume:volumehot/xxx/ Use : coldPath = volume:volumecold/xxx homePath = volume:volumehot/xxx

cwl · ‎11-11-2013

5.0.2を使っていますが、warmバケットが全然coldバケットにロールされないです。原因はなんですか？回避策はありますか？ My buckets never roll from warm to cold. What is the cause and is there any workaround ?

cwl · ‎10-08-2013

デフォルトで splunk/etc/system/default/alert_actions.conf には「maxresults = 10000」として設定されているため、csv ファイルには 10,000 件しか含まれません。必要に応じて local フォルダ内の alert_actions.conf の maxresults を変更することで 10,000 件以上の結果を csv ファイルとして添付することができます。

cwl · ‎10-08-2013

検索結果では 10,000 件以上のイベントが表示されているが、アラートメールで結果を csv ファイルとして添付したところ、10,000 件しか含まれていませんでした。添付のcsvファイルに 10,000 件以上の結果を表示する方法を教えてください。

cwl · ‎09-10-2013

I have a 5.0.4 cluster environment with search factor (SF) and replication factor (RF) set as 2. Since SF=2 both peers should have searchable copies of the hot bucket therefore I was expecting to get search results of these hot buckets from both peers' splunkweb directly. When I did a test, I was able to get search result from the peer with the original hot bucket but I couldn't get search results from the peer that has the replicate copies of hot buckets. Does anyone know if above behavior is by design ?

cwl · ‎09-05-2013

transforms.conf 内の REGEX はデフォルトで 4096 文字までしか処理しません。4096 以上の文字を処理したい場合、transforms.conf に LOOKAHEAD を追加し、文字数を指定する必要があります。 http://docs.splunk.com/Documentation/Splunk/latest/Admin/Transformsconf LOOKAHEAD = <integer> * NOTE: This option is only valid for index-time field extractions. * Optional. Specifies how many characters to search into an event. * Defaults to 4096. You may want to increase this value if you have event line lengths that exceed 4096 characters (before linebreaking).

cwl · ‎09-05-2013

イベントをインデックスする前に特定のフィールドの内容を transforms.conf 内の REGEX で加工しているが、4500適度（かそれ以上）の文字のイベントに対し、REGEXで指定した正規表現が正しく処理されない。

cwl · ‎09-02-2013

データの整合性を保つためにuseACKの使用が推奨されているが、必須ではありません。 useACKが無効になっていても、クラスタ環境は問題なく動作するが、5.0.5より前のバージョンの場合、画面上に警告メッセージが表示されます。 5.0.5以降のバージョンでは、splunkd.logに以下のログが出力されるが、画面上には警告メッセージが表示されなくなります。 INFO TcpInputProc - clustering is enabled but ACK not enabled on forwarder=xx.xx.xx.xx

cwl · ‎09-02-2013

Splunkのクラスタ機能を使用するときには、必ずuseACKを有効にする必要がありますか？

cwl · ‎08-29-2013

Forwarderで送られてくるデータはデータのプレビュー機能で表示できないので、一旦ファイルをIndexer上に置く必要があります。

cwl · ‎08-28-2013

CLIで「-output table」を使う場合、「_raw」の内容が表示されないのは、製品仕様です。「_raw」を「-output table」で表示する必要がある場合、以下の例の通り、「eval」を使うと表示できます。 splunk search "index=_internal | eval raw=_raw | table raw" -output table -maxout 10

cwl · ‎08-28-2013

CLIで「splunk search "index=_internal | table _raw" -output csv -maxout 10」のように「-output csv」を使う場合、「_raw」の内容が表示されるが、「splunk search "index=_internal | table _raw" -output table -maxout 10」のように「-output table」を使う場合、「_raw」の内容が表示されません。この動作は製品仕様ですか？

cwl · ‎08-27-2013

マスタはできるだけ均等に振り分けようとするはずなので、ストレージの容量が異なるピアーが存在するとボトルネックになってしまう可能性は十分ありえます。クラスタ環境のストレージに関する注意点については、以下のドキュメントに記載があります。 http://docs.splunk.com/Documentation/Splunk/5.0.4/Indexer/Systemrequirements#Storage_considerations

cwl · ‎08-26-2013

クラスタ環境のSearch Factor（SF）またはReplication Factor（RF）が満たされていないときに（例えば、あるピアーがダウンしたときなど）マスタがレプリケーションすべきバケットを特定し、残りのピアーに自動的に振り分けてくれます。例えば、SF=2 RF=3の4台ピアーのクラスタ環境で各ピアーに以下の通りにバケットがあるとします。※(s)は、検索可能のバケットを意味します。 Peer1 : B1(s), B2, B3 Peer2 : B1(s), B2(s) Peer3 : B1, B3(s) Peer4 : B2(s), B3(s) そこで、もしPeer3がダウンした場合、マスターはB1をPeer1またはPeer2からPeer4にコピーするように指示します。また、同じようにB3をPeer1またはPeer4からPeer2にコピーするように指示します。 Peer1 : B1(s), B2, B3 Peer2 : B1(s), B2(s), B3 Peer4 : B2(s), B3(s), B1 これで各バケットのRFは満たされるが、B3のSFは満たされていないため、Peer1またはPeer2に対し、tsidxの作成を指示します。 Peer1 : B1(s), B2, B3(s) Peer2 : B1(s), B2(s), B3 Peer4 : B2(s), B3(s), B1 どのターゲットピアにどのバケットをコピーするかは、マスターが自動的に決めてくれますので、ユーザとしては気にする必要はないはずですが、何か想定している問題で気にする必要があるケースがありますか？

Posts	117
Solutions	49
Karma Given	11
Karma Received	90
Member Since	‎02-21-2013

Online Status	Offline
Date Last Visited	‎06-05-2020 02:04 AM

Why am I unable to send internal logs after enabli...

SplunkのDEBUG設定について

ES 5.1のアップグレード後にUIにアクセスできない

突然Indexerのキューがfullになるようになった

アップグレード後の重複アラートについて

誤ったタイムスタンプが表示される Incorrect timestamp is displayed

LDAP timeoutについて

search.logにDEBUG情報を出力させる方法について

SHC captainの確認方法について

regex問題のトラブルシューティング方法について

Re: Cannot export the whole search result to csv

Cannot export the whole search result to csv

Re: deployment fails from the second time.

Re: index delays with universal forwarder's parsin...

index delays with universal forwarder's parsing an...

Re: many CLOSE_WAIT and splunkweb is not respondin...

many CLOSE_WAIT and splunkweb is not responding

Re: Universal forwarderがログを正しく読み込み送信しない

Re: earliest=0 is not overriding the time range se...

earliest=0 is not overriding the time range select...

Re: Universal forwarderがログを正しく読み込み送信しない

Re: warm バケットから cold にロールされない

warm バケットから cold にロールされない

Re: 10K 以上の結果をアラートメールの csv ファイルとして添付する方法

10K 以上の結果をアラートメールの csv ファイルとして添付する方法

If I log into the Splunk UI on a cluster peer (ind...

Re: 文字の多いイベントに対し、REGEXが正しく処理されない

文字の多いイベントに対し、REGEXが正しく処理されない

Re: クラスタ環境ではuseACKの使用は必須ですか？

クラスタ環境ではuseACKの使用は必須ですか？

Re: データの中身からタイムスタンプを生成する方法

Re: -output tableの動作について

-output tableの動作について

Re: クラスタ構成におけるバケツのコピーについて

Re: クラスタ構成におけるバケツのコピーについて

Join the Conversation