Splunk 文件和目录数据输入

Question

我已经安装了 Splunk（Windows 上的 4.1.5(85165)）并且上传了一些日志，没有任何问题。

我现在想监控一个 linux 服务器，但我在添加数据源时遇到问题并且总是收到消息：

Encountered the following error while trying to save: In handler 'monitor': Path must be absolute.

我正在使用 Splunk Web 并将主机字段值设置为两个服务器的 IP 地址和服务器上的完整路径/var/log（并尝试了各种其他组合）。

在 Linux 服务器上，我已添加*.*@192.168.254.100到 syslog.conf。

我已经阅读了手册，但它并没有真正帮助。我发现缺少教程。现在几乎在考虑放弃 Splunk 的想法。我显然在这里缺少某种基本信息。任何人都可以帮忙吗？被指出一些像样的教程的方向会很好......

我无法理解所有这些数据如何发送到 Splunk 以及 Splunk 如何拦截/检索它。

Answer 1

Splunk 的“监视器”只能读取它运行的机器上的文件（或通过网络安装的驱动器，可以从它运行的机器上读取）。“主机”字段可能使它看起来可以从另一台机器读取，但它用于识别文件来自哪台计算机，而不是连接到远程主机。此页面提供了在网络上设置 Splunk 的各种想法。看起来在每台机器上运行 Splunk 并让它们将日志转发到中央索引器是“最佳实践”，因为它使您可以访问不受 syslog 控制的日志文件（例如 apache 日志），并且本地 Splunk 系统将保存数据，如果主 Splunk 服务器出现故障。否则，如果您要使用系统日志，请访问此页面 提供了有关如何在 Windows 中设置 syslog-ng 以接收 syslog 消息，然后设置 Splunk 以从 syslog-ng 读取的一些说明。