스플렁크 헤비포워더로 데이터 전달하기
페이지 정보
작성자 조선제일검 작성일 22-04-23 00:24 조회 2,978 댓글 1본문
환경
스플렁크Splunk 8.0.0
IP192.168.56.125
포워더Heavy Forwarder
IP 192.168.56.124
125번 스플렁크에서 데이터를 수신받을 준비를 해줍니다.
데이터를 수신받는 스플렁크를 수신기라고 합니다.
Settings > Data > Forwarding and receiving >
Receive data > Configure receiving > New Receiving Port > 9997
125번에 헤비포워더를 설치합니다. 데이터를 송신하는 포워더를 송신기라고 합니다.
스플렁크(수신기)에 연결
1) Settings > Data > Forwarding and receiving > Forwarding and Receiving > Forward data > Configure forwarding > Add new
2) 수신기 IP 및 PORT 입력 (192.168.56.125:9997)
3) UF의 './splunk add forward-server <IP>:<PORT> -auth <id>:<password>' 작업과 동일하다.
스플렁크 인덱스에 데이터의 복사본이 저장되고 복사본이 스플렁크(수신기)에 전달한다는 설정
스플렁크 인스턴스(수신기)에 전달 활성화
1) ./splunk enable app SplunkForwarder -auth <id>:<password>
스플렁크 Search & Reporting 에서 수신데이터 확인
1) index=* host=192.168.56.124
최고관리자님의 댓글
최고관리자 작성일좋은글 감사합니다. ^^