WEF-Kollektoren hängen sich bei hohem Log-Aufkommen auf. Wie passt man Wiederholungsintervalle und Batch-Limits an?

Question

WEF-Kollektoren hängen sich bei hohem Log-Aufkommen auf. Wie passt man Wiederholungsintervalle und Batch-Limits an?

Ohlala Felio 0

Windows Event Forwarding (WEF)-Kollektoren geraten bei sehr hohem Log-Volumen komplett ins Stocken, weil Client-Abonnements ständig fehlgeschlagene Übermittlungen an Offline-Kollektor-Endpunkte wiederholen. Wie passen wir die Wiederholungsintervalle für fehlgeschlagene Zustellungen und die Batching-Grenzwerte in den Abonnements sauber an?

0 Kommentare

1 Antwort

Ihre Antwort

Answer 1

Hallo Ohlala Felio,

Dieses Problem entsteht, wenn die Standardwerte für die Übermittlung im WEF-Abonnement auf Push-Modus mit zu aggressiven Wiederholungsversuchen stehen. Sobald ein Zielkollektor offline geht, versuchen tausende Clients fortlaufend, fehlgeschlagene HTTP-Pakete erneut zuzustellen. Dies überlastet die Warteschlangen des Windows-Ereignissammlers und führt bei hohem Log-Aufkommen zu massiven Pufferstaus.

Um das Verhalten zu stabilisieren, öffnen Sie die Ereignisanzeige auf dem Kollektor oder nutzen Sie das Tool wecutil. Exportieren Sie das betroffene Abonnement mit wecutil gs SubscriptionName /f:xml > sub.xml und passen Sie im Konfigurationsabschnitt DeliveryMode die Parameter an. Ändern Sie den Modus auf Push und erhöhen Sie die Werte für MaxLatencyTime beispielsweise auf 900000 Millisekunden sowie MaxItems auf 500 oder 1000 Ereignisse. Dadurch werden Events clientseitig gebündelt übertragen, anstatt den Dienst mit Einzelübertragungen zu fluten.

Zusätzlich können Sie in der XML-Struktur unter SubscriptionDeliveryOptions den HeartbeatInterval heraufsetzen und die Konfiguration anschließend mittels wecutil ss SubscriptionName /c:sub.xml wieder einspielen. Die Clients beziehen diese Drosselung beim nächsten Abrufintervall automatisch, was die Netzwerklast und Verbindungsabbrüche drastisch senkt. Wenn diese Anpassung die Lastspitzen auf Ihren Kollektoren behoben hat, nehmen Sie diese Antwort bitte gerne an.

Tracy Le