Logstash 写 OpenSearch 被 WAF 拦截引发的端到端背压
Logstash 经 Cloudflare 写 OpenSearch,WAF 按内容拦下两批 _bulk,插件对同一批无限重发,背压传回 filebeat,qa 和 stg 的日志停了将近 29 小时。重启只能临时疏通,要在 Cloudflare 加跳过规则。
Logstash 经 Cloudflare 写 OpenSearch,WAF 按内容拦下两批 _bulk,插件对同一批无限重发,背压传回 filebeat,qa 和 stg 的日志停了将近 29 小时。重启只能临时疏通,要在 Cloudflare 加跳过规则。
复制表的每次 INSERT 和 merge 都在 ZooKeeper 的 log/ 下用掉一个 int32 序号。lab 上把计数器推到上限之后,INSERT 全报 Node exists,merge 失败,读照常;照原表建新表、把分区挂过去就能恢复写入。
交易明细从 Kafka 经托管 sink 写进三副本 ClickHouse,单日一千多万到三亿多行。现状是按结算日分区、至少一次写入、单分片三副本靠 Keeper;按键折叠、报表增量聚合加对账重算、整分区替换修数据在 lab 上验过,还没在现有集群上执行。
上游默认下,DROP TABLE 不加 SYNC 有 480 秒能 UNDROP,DETACH 可逆,DROP PARTITION 只靠 FREEZE 备份,删超过 50 GB 会被拦下。Aiven 上的现有集群里宽限期和大小保险都是 0,误删后只剩备份。
写入变慢或被拒时,先看 Keeper 和 part 数。lab 上 Keeper 停掉时副本立刻只读,INSERT 卡约 143 秒才报错;卡住时客户端 30 秒超时,服务端在 Keeper 回来后照样提交。part 过多则先拖慢、后拒绝,中间那段是预警窗口。