debian Syslog (graylog) Server umzug

[joe2017]

Hallo zusammen,

ich habe einen syslog (graylog) Server am laufen und möchte diesen gerade auf eine andere Maschine neu installieren.
Die istallation funktiooniert ohne Probleme. Folgede Komponenten sind installiert:

mongodb 4.4
elastic 7.x
graylog 4.0.6

Ich hatte den alten Server mit Client Zertifikaten am laufen.
Hierfür wurde eine Input im graylog angelegt. Ich habe alles übernommen und gleich konfiguriert.

Wenn ich jetzt versuche mit einem Client meine Logs zu senden erhalte ich folgende fehlermeldung im Log

Code: Alles auswählen

unexpected GnuTLS error -54 in nsd_gtls.c:1917: Erroro in the pull function.

Starte ich den alten Syslog Server funktioniert alles.
Ich habe mittlerweile alles mehrfach durchsucht. Ich finde jedoch keinen Fehler.

Hat zufällig jemand eine Idee wo ich noch schauen könnte?

[joe2017]

Kann es sein, dass sich ein client bei einem Syslog registriert und nur noch zu diesen einen sendet?
Muss ich am client evtl. ein Befehl zum reconnect durchführen?

[habakug]

Hallo,

hier [1] hat es einer zusammengetragen.

Gruss, habakug

[1] https://github.com/john-babio/graylog

[joe2017]

Guten morgen und danke für den Link.

Ich habe ja kein Problem mit dem Zertifikat. Ich habe ein Zertifikat für meinen alten Server erstellt. Diese haben ja bereits funktioniert.
Ich habe diese Zertifikate auf meinen neuen Server übertragen. Dieser had den selben Namen und IP.
Somit sollte das eigentlich funktionieren.

[joe2017]

Anbei nochmal die vollständige Meldung vom Client:

Code: Alles auswählen

rsyslogd:  [origin software="rsyslogd" swVersion="8.1901.0" x-pid="27029" x-info="https://www.rsyslog.com"] start
rsyslogd: unexpected GnuTLS error -54 in nsd_gtls.c:1917: Error in the pull function.  [v8.1901.0 try https://www.rsyslog.com/e/2078 ]
rsyslogd: action 'action-0-builtin:omfwd' suspended (module 'builtin:omfwd'), retry 0. There should be messages before this one giving the reason for suspension. [v8.1901.0 try https://www.rsyslog.com/e/2007 ]
rsyslogd: unexpected GnuTLS error -54 in nsd_gtls.c:1917: Error in the pull function.  [v8.1901.0 try https://www.rsyslog.com/e/2078 ]
rsyslogd: action 'action-0-builtin:omfwd' suspended (module 'builtin:omfwd'), next retry is Tue Apr 13 08:50:50 2021, retry nbr 0. There should be messages before this one giving the reason for suspension. [v8.1901.0 try https://www.rsyslog.com/e/2007 ]

Der einzige Unterschied zu den beiden Servern ist das Upgrade der Komponenten.

Alter Server

Code: Alles auswählen

mongodb 4.2
elastic 6.x
graylog 3.3

Neuer Server

Code: Alles auswählen

mongodb 4.4
elastic 7.x
graylog 4.0

[joe2017]

Also ich finde hier nicht was das Problem sein könnte?
Ich habe schon mehrfach alle Konfigurationen und Berechtigungen überprüft.

Hat niemand eine Idee oder Tipp für mich?

[habakug]

Hallo,

hast du den root-Hash und den Pfeffer in der Graylog "server.conf" übernommen? ("password_secret =" und "root_password_sha2 =")

Gruss, habakug

[joe2017]

Schönen guten Morgen habakug,

ja den habe ich übernommen.

[joe2017]

Leider funktioniert das immer noch nicht. Ich finde den Fehler einfach nicht. Hat jemand eine Idee wo ich noch nachschauen könnte?