使用TCP或UDP

我可以上传文件并进行分析。使用TCP或UDP

的Splunk>搜索>从文件和目录

But how do I use TCP and/or UDP?

假设我已经托管在10.10.10.100的Splunk添加更多的数据>，我想访问10.10.10.99和日志位置是“/var/log/somefile.log” 目前我正在将文件从99复制到100，然后进行分析。有没有更好的方式来动态链接到源代码？

来源

2011-07-07 shantanuo

你将不得不澄清你的问题 - 现在这太模糊了，不能回答以下任何问题：“使用你最喜欢的编程语言，打开一个到所需主机和端口的套接字”。 – Arafangion

您可能正在寻找允许日志集中或转发的类似syslog-ng的软件包，请参阅：http://blogs.splunk.com/2008/11/13/syslog-syslog-ng-and-splunk-forwarders/ –

如果后者是这种情况，我建议将其迁移到超级用户。 – Arafangion

您有几种选择来实现：

上10.10.10.99安装的Splunk转发器，并配置它转发给10.10.10.100。这是最可靠和灵活的方法。请参阅http://www.splunk.com/base/Documentation/latest/Deploy/Aboutforwardingandreceivingdata
使用syslog或syslog-ng从.99转发到.100。然后，您可以设置Splunk以监视syslog日志文件或直接在syslog网络端口上侦听，具体取决于您如何设置syslog。如果您的数据中心中已经运行了syslog，这将非常有效。
在.99上设置原始TCP（或UDP）转发器，即netcat，并将其流数据传输到.100。

通常，您将在http://splunk-base.splunk.com/answers/上得到对Splunk问题的更快响应。

来源

2011-07-08 21:07:01 johnvey

Johnvey - 我正在使用netcat将我的脚本日志重定向到.100（这里使用相同的示例）。如果我把这个流放到一个文件中，并通过splunk读取它，它可以很好地工作。但是这意味着两次保存日志的开销。如果我通过splunk直接监听端口，则不会有数据记录。此外，搜索模块中的数据源从不将TCP/UDP显示为源，仅显示文件。什么似乎是问题？ –

回答

相关问题