audit:backlog limit exceeded

最新推荐文章于 2025-06-03 18:18:11 发布

转载最新推荐文章于 2025-06-03 18:18:11 发布 · 1.2k 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/qfdxxdr/p/8462010.html

本文记录了一次Linux服务器因audit服务导致的系统崩溃经历。通过重启服务器及调整audit服务配置解决了问题，并介绍了如何设置audit服务参数避免类似故障再次发生。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天发现存储服务器业务不可用，服务器能ping通，远程不了! 到机房管理员那里查看服务器状态后，发现显示如下：

显然系统已经崩溃，只能先重启服务器，先恢复业务，然后针对backlog limit exceeded的告警查找原因

通过百度查找audit服务是linux的一个审计服务，上述原因是audit服务在繁忙的系统中进行审计事件操作，缓冲瓶颈，导致系统崩溃

在优化audit服务之前要先确保selinx是disabled状态和磁盘正常，否则会出现重启服务器之后输入root密码的那个界面会提示只读等的字样

优化audit服务：#auditctl -b 8192（8192是kb单位，但是这个值要根据系统的实际情况设置）

以上只是临时生效，重启服务器还是会重置为默认值，可以将auditctl -b 8192写入/etc/rc.local

转载于:https://www.cnblogs.com/qfdxxdr/p/8462010.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

weixin_34362991

关注关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

linux audit 源码分析,Linux安全审计机制模块实现分析(13)-核心文件之一audit.c核心代码注释...

weixin_39927623的博客

05-12

636

原标题：Linux安全审计机制模块实现分析(13)-核心文件之一audit.c核心代码注释2.4.1.6核心代码注释//创建一个审计缓冲区，存放类型为type的审计消息struct audit_buffer *audit_log_start(struct audit_context *ctx, gfp_t gfp_mask,int type){struct audit_buffer*ab= NUL...

Linux内核审计日志audit_log,linux audit审计（4）--audit的日志切分，以及与rsyslog的切分协同使用...

weixin_39616961的博客

05-08

1353

audit的规则配置稍微不当，就会短时间内产生大量日志，所以这个规则配置一定要当心。当audit日志写满后，可以看到如下场景：-r-------- 1 root root 8388609 Mar 31 11:47 audit.log.997-r-------- 1 root root 8388780 Mar 31 11:47 audit.log.998-r-------- 1 root root ...

参与评论您还未登录，请先登录后发表或查看评论

Linux报错audit: backlog limit exceeded

热门推荐

sunny05296的博客

11-17

1万+

Linux报错audit: backlog limit exceeded 现象：Linux ssh连接不上，能ping通，登录界面报错提示 audit: backlog limit exceeded 原因：该错误为 Linux Kernel logs，问题的原因是audit服务在繁忙的系统中进行审计事件操作，缓冲区存在瓶颈，导致系统接近崩溃。背景介绍： audit是linux系统中用于记录用户底层调用情况的服务，用来记录用户执行的open，exit等系统调用行为，并会将记录写到日志文件中。 au

Linux报错：audit: backlog limit exceeded

至虛極，守靜篤

12-29

2364

今天，一台虚拟机上操作昨天打开的连接一直没响应，新打开连接连接不上。SSH校验不通过。通过IT的后台，可以看到满屏的audit服务记录的审计事件超出默认(或设置)数量，达到或超出容量的审计缓冲区队列也可能导致实例锁定或持续无响应状态。audit服务配置。

Audit buffering and rate limiting

m0_73674033的博客

06-03

792

在这种情况下， backlog 队列被设置为最多包含 320 个条目（这对于生产系统来说较低），并且有更多消息正在被添加（Linux 内核在某些情况下允许比配置的条目多几条，以提高性能和一致性）。它还显示当前在 backlog 队列中等待的事件数量（在我们的情况下是零，因此审计用户空间守护进程已正确地消费并记录了审计事件）。因此，请正确调整它，并享受Linux审计子系统的强大功能。现在，生成的审计事件消息并不直接传送到审计守护进程 - 它们首先被排队在一个类型的后备队列中，上面的后备相关消息就来自这里。

audit:backlog limit exceeded，无法ssh登陆

wantming的专栏

08-14

8573

现象云主机突然CPU告警，发现无法ssh登陆，ip可以ping通，相关服务也正常报错 console口有大量audit:backlog limit exceeded报错解决重启服务器后恢复。查看系统日志，有大量audit: audit_backlog=2049 > audit_backlog_limit=2048报错 audit服务是linux的一个审计服务，上述原因是audit服务在繁忙的系统中进行审计事件操作，缓冲瓶颈，导致系统崩溃查看本机audit.

Linux audit “Backlog limit exceeded”

discsthnew的博客

03-25

8500

Linux audit “Backlog limit exceeded” If you’re running a busy Linux system, you may see the following error in your Kernel logs: audit: backlog limit exceeded For example: messages may write to ...

安卓APP访问CAN有如下报错05-16 18:09:54.015 8022 8022 D can_test: nCanFd = 67 05-16 18:09:54.015 8022 8022 D can_test: Send can_id 05-16 18:09:54.013 8022 8022 I com.bin.cantest: type=1400 audit(0.0:444): avc: denied { ioctl } for path="socket:[114169]" dev="sockfs" ino=114169 ioctlcmd=0x8933 scontext=u:r:system_app:s0 tcontext=u:r:system_app:s0 tclass=can_socket permissive=1 05-16 18:09:54.015 8022 8022 D can_test: Send Error frame[0] 05-16 18:09:54.013 8022 8022 I com.bin.cantest: type=1400 audit(0.0:445): avc: denied { bind } for scontext=u:r:system_app:s0 tcontext=u:r:system_app:s0 tclass=can_socket permissive=1 05-16 18:09:54.013 8022 8022 I com.bin.cantest: type=1400 audit(0.0:446): avc: denied { write } for path="socket:[114169]" dev="sockfs" ino=114169 scontext=u:r:system_app:s0 tcontext=u:r:system_app:s0 tclass=can_socket permissive=1 05-16 18:09:54.020 0 0 W audit : audit_lost=15 audit_rate_limit=5 audit_backlog_limit=64 05-16 18:09:54.020 0 0 E audit : rate limit exceeded 05-16 18:09:54.060 305 388 W APM::AudioPolicyEngine: getDevicesForStrategy() unknown strategy: -1 05-16 18:09:54.060 459 477 I system_server: oneway function results will be dropped but finished with status OK and parcel size 4 05-16 18:09:54.150 459 1215 E TaskPersister: File error accessing recents directory (directory doesn't exist?). 05-16 18:09:56.930 274 401 D AudioHardwareTiny: do_out_standby,out = 0xea043b70,device = 0x2 05-16 18:09:56.932 274 401 D alsa_route: route_set_controls() set route 24 05-16 18:09:56.941 274 401 D AudioHardwareTiny: close device 05-16 18:09:56.943 459 477 I system_server: oneway function results will be dropped but finished with status OK and parcel size 4 05-16 18:10:00.010 620 620 D KeyguardClockSwitch: Updating clock:

06-13

这个报错信息表明应用程序被拒绝了访问CAN总线的权限。在Android系统中，访问CAN总线需要特定的权限，而且在某些情况下需要root权限才能访问。要解决这个问题，可以尝试以下步骤： 1. 确保应用程序已经被授权访问...

06-27 14:30:48.756 17487 17487 D UsbDeviceConnectionJNI: close 06-27 14:30:48.756 17487 17487 I MultiCameraClient: disconnect device name/pid/vid:/dev/bus/usb/005/097&8841&7119 06-27 14:30:48.757 17487 17487 D ActivityStackUtils: remove stack: CusCarmerActivity 06-27 14:30:48.757 17487 17487 I CusCarmerActivity22: onDestroy==end 06-27 14:30:48.761 443 516 W InputManager-JNI: Input channel object '8e49df8 com.example.simplecarmer/com.example.simplecarmer.CusCarmerActivity (client)' was disposed without first being removed with the input manager! 06-27 14:30:48.772 17487 17487 I CusCarmerActivity22: CusCarmerActivity stateCLOSED==null 06-27 14:30:48.773 23868 23898 D BufferPoolAccessor2.0: bufferpool2 0xb400007d2ad603d8 : 5(19200 size) total buffers - 4(15360 size) used buffers - 812541/812546 (recycle/alloc) - 2285/1625082 (fetch/transfer) 06-27 14:30:48.798 17487 26435 I RenderManager: camera render frame rate is 7 fps-->gl_render 06-27 14:30:48.804 376 23907 D BufferPoolAccessor2.0: bufferpool2 0xb4000070ae124038 : 4(96000 size) total buffers - 2(48000 size) used buffers - 812540/812544 (recycle/alloc) - 117/812542 (fetch/transfer) 06-27 14:30:48.809 17487 26436 F libc : Fatal signal 11 (SIGSEGV), code 1 (SEGV_MAPERR), fault addr 0x780d80e690 in tid 26436 (camera-17510058), pid 17487 (le.simplecarmer) 06-27 14:30:48.930 26448 26448 I crash_dump64: obtaining output fd from tombstoned, type: kDebuggerdTombstoneProto 06-27 14:30:48.933 210 210 I tombstoned: received crash request for pid 26436 06-27 14:30:48.935 26448 26448 I crash_dump64: performing dump of process 17487 (target tid = 26436) 06-27 14:30:49.080 26448 26448 W unwind : Failed to initialize DEX file support: dlopen failed: library "libdexfile.so" not found 06-27 14:30:49.193 26448 26448 I crash_dump64: type=1400 audit(0.0:1451): avc: denied { open } for path="/dev/__properties__/u:object_r:hwservicemanager_prop:s0" dev="tmpfs" ino=11849 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:hwservicemanager_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.193 26448 26448 I crash_dump64: type=1400 audit(0.0:1452): avc: denied { getattr } for path="/dev/__properties__/u:object_r:hwservicemanager_prop:s0" dev="tmpfs" ino=11849 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:hwservicemanager_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.193 26448 26448 I crash_dump64: type=1400 audit(0.0:1453): avc: denied { map } for path="/dev/__properties__/u:object_r:hwservicemanager_prop:s0" dev="tmpfs" ino=11849 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:hwservicemanager_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.197 26448 26448 I crash_dump64: type=1400 audit(0.0:1454): avc: denied { open } for path="/dev/__properties__/u:object_r:vendor_default_prop:s0" dev="tmpfs" ino=11955 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:vendor_default_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.197 26448 26448 I crash_dump64: type=1400 audit(0.0:1455): avc: denied { getattr } for path="/dev/__properties__/u:object_r:vendor_default_prop:s0" dev="tmpfs" ino=11955 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:vendor_default_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.197 26448 26448 I crash_dump64: type=1400 audit(0.0:1456): avc: denied { map } for path="/dev/__properties__/u:object_r:vendor_default_prop:s0" dev="tmpfs" ino=11955 scontext=u:r:crash_dump:s0:c512,c768 tcontext=u:object_r:vendor_default_prop:s0 tclass=file permissive=1 app=com.example.simplecarmer 06-27 14:30:49.196 0 0 W audit : audit_lost=260 audit_rate_limit=5 audit_backlog_limit=64 06-27 14:30:49.196 0 0 E audit : rate limit exceeded

最新发布

06-28

我们正在分析一个Android应用崩溃日志，具体错误是"Fatalsignal11 (SIGSEGV)"，并且提到了camera renderbufferpool2和usbdevice disconnect。SIGSEGV表示段错误（Segmentation Fault），通常是由于程序试图访问未...

Ubuntu服务器日志满audit:backlog limit exceeded了会报错解决方案-Linux 审计系统 (auditd) 工具

专注技术分享

04-16

913

auditd 是 Linux 系统中的审计守护进程，负责收集、记录和监控系统安全相关事件。以下是相关工具及其功能：核心组件auditd - 审计守护进程系统的审计服务主程序收集系统调用信息并写入日志文件通常存储在 /var/log/audit/audit.logauditctl - 审计控制工具配置审计系统规则修改审计系统参数（如缓冲区大小）查看状态和统计信息例：auditctl -b 8192 设置缓冲区大小ausearch - 审计日志搜索工具。

Energy Audit

03-24

Energy Audit for Building

linux audit.log,Linux登录时显示audit:backlog limit exceeded的解决方法

weixin_39615956的博客

05-15

1351

原创内容,转载请注明出处: https://www.myzhenai.com/thread-17898-1-1.html https://www.myzhenai.com.cn/post/2237.html我昨天在升级一个Fedora系统时遇到了这样的问题, 开机在进入系统菜单的时候莫明的显示audit:backlog limit exceeded,并且系统非常卡,不能进入系统, 偶尔进入系统后...

solve: vmware audit:backlog limit exceeded

kcetry的博客

10-11

2570

sudo vi /etc/selinux/config change SELINUX=disable

mysql backlog,Linux登录时显示audit:backlog limit exceeded的解决方法

weixin_39533307的博客

03-23

949

今天发现机器无法连接，并且通过VNC发现以下提示：audit:backlog limit exceededaudit:audit_backlog=321 > audit_backlog_limit=320导致VNC卡住并且无法操作，只好重启服务器，几分钟后，貌似一切正常。问题：audit服务在繁忙的系统中进行审计事件操作，导致缓冲瓶颈！解决办法：修改audit缓冲区大小参数，默认为64，修改...

【安全】linux audit审计使用入门

追寻梦想的青春

10-11

5794

rules：审计规则，其中配置了审计系统需要审计的操作auditctl：用户态程序，用于审计规则配置和配置变更kaudit：内核空间程序，根据配置好的审计规则记录发生的事件auditd：用户态程序，通过netlink获取审计日志用户通过auditctl配置审计规则内核的kauditd程序获取到审计规则后，记录对应的审计日志用户态的auditd获取审计日志并写入日志文件。audit的主要应用场景是安全审计，通过对日志进行分析发现异常行为。

error: audit:backlog limit exceeded

weixin_34346099的博客

11-20

954

audit:backlog limit exceeded解决方法：audit 服务对所有的系统调用进行审计操作，在配置文件中，排除audit.conf文件中，日志、磁盘空间等配置参数的性能瓶颈！最终问题锁定在，audit服务在繁忙的系统中进行审计事件操作，缓冲瓶颈！增加audit.rules 的-b 选项，8192kb,(此值，要根据系统buffer值，适当分配---考虑到其...

linux查看数据积压,对 EC2 Linux 实例上的审计积压错误进行排查

weixin_39778668的博客

05-12

1088

为什么我在 EC2 Linux 实例的屏幕截图和系统日志中看到“审计：超出积压限制”错误，我该如何避免这种情况？上次更新时间：2020 年 9 月 18 日我在 Amazon Elastic Compute Cloud (Amazon EC2) Linux 实例的屏幕截图和系统日志中看到“已阻止审计回调”和“审计：超出积压限制”错误消息。为什么我会收到这些消息，以及如何防止它们再次发生？简短描述L...

e audit : rate limit exceede

04-02

If you receive a "rate limit exceeded" error during an audit, it means that you have made too many requests to the server within a certain period of time. This is a security measure implemented by the...