日志处理器的故障排除技巧

概述

本页面可帮助您排查常见日志处理器问题，包括连接故障、服务中断、日志处理延迟及性能问题。同时说明如何收集诊断数据并恢复服务。

常见问题与解决方案

1. 我的日志处理器状态显示为"已关闭"。我应该检查什么？

• 确认日志处理器服务正在运行。
• 验证网络连接（ping、防火墙、DNS）。
• 确保处理器与其他处理器运行相同的产品版本。

2. 日志处理器状态显示为"服务状态不可用"，这意味着什么？

• 处理器可访问，但其内部服务未响应。
• 检查产品日志中是否存在初始化或启动错误。
• 重新启动日志处理器服务并重新检查状态。

3. 为何无法添加新的日志处理器？

可能原因包括：

• 未配置公共数据库或无法访问。
• 共享存储路径未配置或不可访问。
• 提供的管理员用户名/密码不正确。

解决方案：添加处理器前请确认所有先决条件已满足。

4. 日志未被处理或出现延迟，可能原因是什么？

• 分布式队列可能已超载。
• 角色可能配置错误，例如处理引擎处于禁用状态。
• 共享存储可能不可用或已满。

解决方案：验证角色分配、监控系统利用率并确认存储可用性。

5. 无法访问 Elasticsearch 归档数据，原因何在？

• 共享归档路径可能无法从所有处理器访问。

解决方案：将Elasticsearch 归档位置更新为共享路径，验证访问凭据，必要时手动迁移现有数据。

6. 系统健康状态显示"需要关注"。这表明什么？

• 存在次要配置问题或模块级故障。
• 例如：归档模块处于非活动状态，或告警功能被禁用。

解决方案：参阅本节内容并定位受影响模块。

7. 某些角色（如告警或日志转发）停止工作。原因何在？

• 自定义角色重新分配期间可能已删除该角色。

解决方案：参阅本节重新分配所需模块。

8. 删除日志处理器后，关联设备的日志无法到达系统。原因何在？

• 设备可能仍配置为将日志转发至已删除处理器。

解决方案：更新设备或系统日志转发配置，将日志导向活跃的日志处理器。

9. 搜索和索引性能缓慢。该如何处理？

• 请验证 Elasticsearch 归档路径的可访问性。
• 在搜索引擎设置中启用副本以提升性能。
• 如有必要，为搜索角色分配额外的专用处理器。

10. 日志处理器意外终止。原因何在？

• 处理器的日志队列引擎已停止运行。
• 磁盘空间低于 16 GB 阈值。

解决方案：

• 检查受影响处理器上的日志队列引擎健康状况。
• 若磁盘空间低于阈值，请释放空间或增加磁盘容量。
• 确保磁盘空间充足后重启处理器。

11. 日志处理器在模块加载过程中启动暂停并终止。原因何在？

• 日志队列引擎未能找到足够的活动处理器来启动集群。

解决方案：

• 请确认启用了LogQueueEngine的处理器是否正在运行。
• 确保多数处理器处于运行且健康状态。
• 检查可用磁盘空间，确保其超过 16 GB。
• 若处理器已停止运行，请重启以重新连接集群。
• 当多数处理器启动后，暂停的处理器将自动恢复启动。

12. 启用了日志队列引擎的处理器添加到现有集群后无法启动，原因何在？

• 由于一个或多个节点不可用，LogQueueEngine 集群可能处于不稳定状态。

解决方案：

• 检查现有 LogQueueEngine 节点的健康状态。
• 当多数处理器启动运行后，请重新启动新添加的处理器使其加入集群。

收集日志以供支持

• 请参阅本节生成诊断文件，例如：
  • 服务器日志
  • 线程转储
  • 内存转储

  注意

  ：

  代理日志仅可从主处理器收集。

服务恢复步骤

1. 我的日志处理器已停机，如何恢复其运行？

1. 登录托管日志处理器的服务器。
2. 打开服务（services.msc）。
3. 找到ManageEngine Log360 服务。
4. 右键单击并选择“启动”（若已运行则选择“重新启动”）。
5. 等待服务初始化完成，然后在产品控制台中刷新日志处理器状态。

另请参阅

本文档概述了日志处理器的故障排除技巧。如需配置与管理的完整概述，请参阅以下文章：

• 配置日志处理器
• 管理日志处理器