tag:crieit.net,2005:https://crieit.net/tags/rsyslog/feed Crieitでタグ「rsyslog」に投稿された最近の記事 2021-03-30T21:34:08+09:00 https://crieit.net/tags/rsyslog/feed tag:crieit.net,2005:PublicArticle/16796 2021-03-30T21:29:49+09:00 2021-03-30T21:34:08+09:00 https://crieit.net/posts/RHEL-rsyslog-vROps-Framing-Error <p>vROps（VMware vRealize Operations）のログを<br /> rsyslogで受信する設定をした際に、<br /> /var/log/messagesにFraming Errorメッセージが大量に出力される現象が発生したため、メモ</p> <h1 id="動作環境"><a href="#%E5%8B%95%E4%BD%9C%E7%92%B0%E5%A2%83">動作環境</a></h1> <p>Red Hat Enterprise Linux 8.3 (Ootpa)<br /> Kernel: 4.18.0-240.el8.x86_64<br /> rsyslogd 8.1911.0-6.el8</p> <h1 id="Framing Errorメッセージ"><a href="#Framing+Error%E3%83%A1%E3%83%83%E3%82%BB%E3%83%BC%E3%82%B8">Framing Errorメッセージ</a></h1> <pre><code>Mar 25 11:21:41 servername rsyslogd[1511]: imtcp imtcp: Framing Error in received TCP message from peer: (hostname) vROpsserver, (ip) vROpsserver: delimiter is not SP but has ASCII value 10. [v8.1911.0-6.el8] Mar 25 11:21:41 servername rsyslogd[1511]: imtcp imtcp: Framing Error in received TCP message from peer: (hostname) vROpsserver, (ip) vROpsserver: delimiter is not SP but has ASCII value 45. [v8.1911.0-6.el8] Mar 25 11:21:41 servername rsyslogd[1511]: imtcp imtcp: Framing Error in received TCP message from peer: (hostname) vROpsserver, (ip) vROpsserver: delimiter is not SP but has ASCII value 58. [v8.1911.0-6.el8] Mar 25 11:21:41 servername rsyslogd[1511]: imtcp imtcp: Framing Error in received TCP message from peer: (hostname) vROpsserver, (ip) vROpsserver: delimiter is not SP but has ASCII value 62. [v8.1911.0-6.el8] </code></pre> <p>Valueの数値は、10,45,58,62の4種類かな？<br /> メッセージが大量に出力されるため、/var/log/messagesがこのメッセージで埋まってしまう…</p> <blockquote> <p><strong>【Framing Errorメッセージについて】</strong><br /> rsyslogdが受信したメッセージの形式が不正であった場合に出力されるメッセージで<br /> メッセージ区切り文字が SP（space）ではなく ASCII 文字の value [xx] として受信したことを意味しているようです。</p> </blockquote> <h1 id="vROpsがoctet-counted framingを採用していることが原因"><a href="#vROps%E3%81%8Coctet-counted+framing%E3%82%92%E6%8E%A1%E7%94%A8%E3%81%97%E3%81%A6%E3%81%84%E3%82%8B%E3%81%93%E3%81%A8%E3%81%8C%E5%8E%9F%E5%9B%A0">vROpsがoctet-counted framingを採用していることが原因</a></h1> <p>vROpsがoctet-counted framingを採用していることによるエラーとのことなので<br /> syslogサーバでOctetCountedFramingをオフにすればOK</p> <h1 id="対応"><a href="#%E5%AF%BE%E5%BF%9C">対応</a></h1> <p>rsyslog設定ファイルに、OctetCountedFramingを無効にする設定をする</p> <pre><code># vi /etc/rsyslog.conf ## 修正前 module(load="imtcp") # needs to be done just once input(type="imtcp" port="514") ## 修正後 module(load="imtcp") # needs to be done just once input(type="imtcp" port="514" supportOctetCountedFraming="off") </code></pre> <p>rsyslogd再起動で設定を反映</p> <pre><code># systemctl restart rsyslog </code></pre> ゆみお