写入Splunk漏洞时出现“错误L10（输出缓冲区溢出）”

Question

我正在将日志推送到本地splunk安装。最近，我发现，下面的错误重复很多（约每分钟一次）：

错误L10 （输出缓冲器溢出）：19：52 + 00：7150消息，因为 2013-06-26T19下降00.134 < 13> 1 2013-07-08T14：59：47.162084 + 00：00 host app web.1 - [\ x1B [37minfo \ x1B [0m] application - Perf - 花费31 毫秒来获取行ID ...

错误重复了很多，并且in the documentation据说这些错误是在您的应用程序产生大量日志时发生的。

事情是，我几乎没有20-30日志每秒，这是不是真的考虑很多。我测试过其他下水道（添加了内置的papertrail插件），并且这些错误不会在那里发生 - 所以它们特定于流出的污水排水管。

我想也许splunk机被加载，因此不接受足够快的日志，但它的CPU是空闲的，它有大量的磁盘内存。此外，我相信应用程序（Play 2应用程序）会自动刷新日志到控制台，所以没有大量的未刷新日志，随后是发布版本。

什么会导致输出分流排水管的排水速度慢？我应该如何调试它？

Answer 1

长乒乓与Heroku的团队之后，我们找到了答案：

我使用的URL前缀的http：//配置日志排水时，而不是系统日志：//。当我将URL更改为syslog：//时，错误消失了，并且日志正确地流过splunk。

Answer 2

我的POV就是因为错误消失了，并不意味着你解决了这个问题。 HTTP协议提供同步响应。因此，如果您达到阈值，无论是容量限制还是业务协议阈值，HTTP响应代码都将成为指示。有了Sumo Logic，如果你超过了爆破率限制，我们将返回一个429响应码。 Heroku Logplex未针对否定响应代码进行调整，并会丢弃数据。对于syslog端点，您可能会丢失数据，除了系统日志没有响应通道，因此它唯一的选择是删除数据。对于Sumo Logic，您将在审核日志中看到通知，指示正在应用调节。发生这种情况时，应联系支持人员或您的客户团队，以调整您的限制或增加计划。