Retards de expédition de journaux ou journaux manquants en raison de la latence élevée entre les collecteurs de journaux dans un groupe de collecteurs
Symptom
A La capacité de Collector Group à manipuler les journaux peut souffrir considérablement lorsque la latence entre les collecteurs de journaux dans le groupe collecteur est supérieure à 10 ms et/ou lorsque le taux d’enregistrement est élevé. Dans de telles conditions, une lenteur ou un retard peut être observé lors de l’adage des journaux. Dans certains cas, les journaux peuvent même se perdre.
Environment
Environnements où ce problème est plus susceptible de se produire :
- La latence est élevée entre les LC – une latence supérieure à 10ms pourrait déclencher le problème.
- Taux d’enregistrement élevé – FWs haut de gamme ( PA- 7k, PA-5200 ), en avançonnant des journaux vers LC ou de nombreux pare-feu en avança des journaux
- La redondance du journal est définie.
Cause
Dans un système fonctionnel, un firewall forwards se connecte à un seul collecteur de journaux dans un groupe collecteur en fonction de la configuration de sa liste de préférences de transmettre le journal. Le collecteur de journaux qui reçoit les journaux distribue également ces journaux à d’autres collecteurs de journaux du groupe pour le stockage sur disque. Le collecteur de journaux de réception tamponne les journaux jusqu’à ce qu’il reçoive un accusé de réception du collecteur de journaux pairs au cas où une défaillance de communication exige que les journaux soient envoyés à nouveau. Si ce tampon se remplit, il ne peut plus recevoir de journaux de la firewall .
Dans un système soumis à un stress (par exemple, à un taux d’enregistrement élevé et à une latence élevée entre les collecteurs de journaux), les paquets de reconnaissance peuvent être retardés. Cela provoque à son tour tampons sur le collecteur de journaux de réception pour atteindre la capacité maximale. Bien que les tampons soient à capacité maximale, le collecteur de journaux n’acceptera pas les journaux supplémentaires provenant des pare-feu. Cela introduit des retards dans le stockage des journaux sur disque et dans les cas extrêmes une perte de journaux. Par exemple, dans le cas d’un PA-5200 ou PA- d’un 7K qui peut avoir des taux d’exploitation forestière très élevés, firewall le tampon de journal du journal pourrait se retourner, ce qui entraînerait une perte de journaux.
Détection d’un système soumis au stress
Exécuter CLI debug log-collector log-collection-stats afficher les journaux entrants
> Debug log-collecteur log-collection-stats montrent entrant-logs
blk statistiques d’expédition par destination LC :
007307001057 (Succès:3156, Fails:156543)
007307001044 (Succès:166874, Fails:0)
Lorsque le problème existe, le nombre échoue augmente constamment pour le collecteur de journaux à distance.
Exécutez le netstat CLI 's pour voir si le canal de communication est encombré
> montrer netstat numérique oui programme oui | match déconnecté
tcp 6100410 0 127.0.0.1:41742 127.0.0.1:pan-mgmtsrv ESTABLISHED
> montrer netstat numérique oui programme oui | match <ip address of the other LC >
tcp 4306978 162176 ::ffff:10.:p an-mgmt-interlc ::ffff:172.25.0.14:50471 ESTABLISHED
Resolution
solution
Assurer une latence d’au moins 10 m entre les collecteurs de grumes.Contournement
- Désactiver la redondance de journal pour CG
Activer la compression LC inter-données
La compression des données pour inter-lc est par défaut pour 8,1. Dans 8.0, faire ce qui suit pour activer la compresse de données pour la communication inter-lc sur tous les LCs
du groupe: débogage log-collector inter-log-collector
data-compression logiciel redémarrer le processus de redémarrage du logiciel logé
Il n’y a pas d’impact opérationnel, mais peut entraîner une augmentation minimale de CPU l’utilisation de logd.
Divisez un seul groupe de collectionneurs en plusieurs groupes de collectionneurs
Remarque : Cette solution de contournement aura un impact sur l’adage PA- des journaux à partir de PA- 7 K et 5 200. En raison de la capacité tampon et du taux d’enregistrement extrêmement élevé de ces FWs, les tampons peuvent être pleins et ils peuvent ne pas être en mesure de re-transmettre les journaux au collecteur de journaux une fois qu’il revient.