collettori WEF bloccati con registri

Question

collettori WEF bloccati con registri

Matteo Bianchi 40

I collettori WEF si bloccano ogni volta che c'è un volume elevato di log

perché i client continuano a riprovare l'invio verso endpoint offline.

Vorrei sapere come impostare gli intervalli di tentativi e i limiti di invio a blocchi (batch) per favore.

0 commenti

1 risposta

Risposta

Answer 1

Ciao Matteo Bianchi,

Il blocco dei collettori WEF in presenza di carichi elevati si verifica quando la modalità di recapito delle sottoscrizioni è configurata con parametri push troppo aggressivi. In questa situazione, se un endpoint non risponde, migliaia di client inoltrano continue richieste HTTP a brevissima distanza, esaurendo la coda di elaborazione del servizio Windows Event Collector sul server.

Per mitigare la congestione, esporti la configurazione della sottoscrizione in formato XML sul server collettore eseguendo wecutil gs NomeSottoscrizione /f:xml > sub.xml. Nel file generato, individui la sezione Delivery e imposti MaxLatencyTime a un valore più alto, ad esempio 900000 millisecondi (15 minuti), e aumenti MaxItems a 500 o 1000 eventi, in modo da forzare i client a raggruppare i pacchetti invece di inviare singoli eventi continui. Nella medesima struttura aumenti anche HeartbeatInterval a 1800 secondi per distanziare i controlli di connessione verso gli endpoint non disponibili.

Salvi il file XML e applichi la nuova configurazione con il comando wecutil ss NomeSottoscrizione /c:sub.xml. I client scaricheranno le nuove direttive al successivo ciclo di polling, riducendo drasticamente il sovraccarico di rete e i tentativi a vuoto sui collettori offline.

Tracy Le