お世話になっております。
Universal Forwarderについて教えてください。
現在、ログを送信したいサーバにUniversal Forwarder、
ログを管理したいサーバにSplunk Enterprizeをインストールしています。
以前はこの組み合わせでログを送信し、Splunk Enterprizeで確認できていました。
一度転送を止め、再度ログを送信しようとしたのですが、うまくできません。
Universal Forwarderでは、Local Systemを選択
特定のディレクトリに貯まるログを送信するため、
Path to monitorに特定のディレクトリまでのパスを指定
Deplyment Serverは何も入れず次へ
Receiving IndexerはSplunk EnterprizeがインストールされたサーバのIPアドレスとポートを9997を入れ、インストール。
Splunk Enterprizeでは、データの受信設定で9997で待ち受けるように設定しました。
記憶は残していませんが、以前も同じ設定で通信できたと認識しています。
Universal Forwarderのログを見ると通信がタイムアウトしているようでした。
以前との違いは、Splunk Enterprizeで使用しているライセンスが変わっていることです。
以前は60日制限の試用版SplunkEnterprizeのライセンスを利用していましたが、
今は期間が終わってしまったため、Free版のライセンスを使用しています。
Free版ではUniversal Forwarderは利用できないのでしょうか。
Free版のSplunk Enterpriseでも、UFからのデータを受け取ることはできます。
設定の見直しから検討するのはいかがでしょうか?
▼インデクサー上の確認ポイント
btoolを使った設定確認
/opt/splunk/bin/splunk btool inputs list --debug
※ splunktcp://9997 が表示され、設定が有効である事を確認します。
▼UF上の確認ポイント
/opt/splunkforwarder/bin/splunk list forward-server -auth admin:changeme
※ インデクサーへの接続情報がActive forwardsに含まれているか? inactiveとして分類されているような予感ですが・・・
以上
アドバイスありがとうございます。
最終的にログを取れるようになりました。
原因はPCのFWだった模様で、何故か9997が拒否されていた模様でした。
9997の通信を許可するルールを作ったところ、無事通信が始まりました。