使用TCP或UDP

我可以上傳文件並進行分析。使用TCP或UDP

的Splunk>搜索>從文件和目錄

But how do I use TCP and/or UDP?

假設我已經託管在10.10.10.100的Splunk添加更多的數據>，我想訪問10.10.10.99和日誌位置是「/var/log/somefile.log」目前我正在將文件從99複製到100，然後進行分析。有沒有更好的方式來動態鏈接到源代碼？

來源

2011-07-07 shantanuo

你將不得不澄清你的問題 - 現在這太模糊了，不能回答以下任何問題：「使用你最喜歡的編程語言，打開一個到所需主機和端口的套接字」。 – Arafangion

您可能正在尋找允許日誌集中或轉發的類似syslog-ng的軟件包，請參閱：http://blogs.splunk.com/2008/11/13/syslog-syslog-ng-and-splunk-forwarders/ –

如果後者是這種情況，我建議將其遷移到超級用戶。 – Arafangion

您有幾種選擇來實現：

上10.10.10.99安裝的Splunk轉發器，並配置它轉發給10.10.10.100。這是最可靠和靈活的方法。請參閱http://www.splunk.com/base/Documentation/latest/Deploy/Aboutforwardingandreceivingdata
使用syslog或syslog-ng從.99轉發到.100。然後，您可以設置Splunk以監視syslog日誌文件或直接在syslog網絡端口上偵聽，具體取決於您如何設置syslog。如果您的數據中心中已經運行了syslog，這將非常有效。
在.99上設置原始TCP（或UDP）轉發器，即netcat，並將其流數據傳輸到.100。

通常，您將在http://splunk-base.splunk.com/answers/上得到對Splunk問題的更快響應。

來源

2011-07-08 21:07:01 johnvey

Johnvey - 我正在使用netcat將我的腳本日誌重定向到.100（這裏使用相同的示例）。如果我把這個流放到一個文件中，並通過splunk讀取它，它可以很好地工作。但是這意味着兩次保存日誌的開銷。如果我通過splunk直接監聽端口，則不會有數據記錄。此外，搜索模塊中的數據源從不將TCP/UDP顯示爲源，僅顯示文件。什麼似乎是問題？ –

回答

相關問題