@Splunk转发器部署（windows | linux）

文章目录


在这里插入图片描述

1.Spunk概述

1）Splunk分为服务器(Splunk)和客户端（Splunkforwarder）。
Splunk的服务器就是索引器和接收器。客户端就是数据的转发器。顾名思义就是数据可由客户端转发至server端进行索引。客户端只起到转发数据的作用。
2）Splunk是一款功能强大，功能强大且完全集成的软件，用于实时企业日志管理，可收集，存储，搜索，诊断和报告任何日志和机器生成的数据，包括结构化，非结构化和复杂的多行应用程序日志。
​它允许您以可重复的方式快速，可重复地收集，存储，索引，搜索，关联，可视化，分析和报告任何日志数据或机器生成的数据，以识别和解决操作和安全问题。，
3）splunk还支持各种日志管理用例，例如日志整合和保留，安全性，IT操作故障排除，应用程序故障排除以及合规性报告

2.Splunk获取

【splunk官方网站】

3.Splunk转发器安装windows

官网获取splunk 转发器并上传windows服务器：

splunkforwarder-8.1.3-63079c59e632-x64-release

场景一：

双击打开并选择安装：接受许可协议并选择内部安装实例

在这里插入图片描述

选择自定义路径

在这里插入图片描述
在这里插入图片描述

选择本地系统：

在这里插入图片描述

在这里插入图片描述

创建管理员及用户认证凭据
admin：admin@2022

在这里插入图片描述

指定splunk server地址

在这里插入图片描述

设置splunk接受端口（默认即可）

在这里插入图片描述

配置完成后安装即可 ：

hi
在这里插入图片描述

修改 splunk配置：如下做所示：

场景二：

双击打开并安装splunkforwarder：勾选接受许可协议，并下一步

在这里插入图片描述

安装Splunk转发器：

在这里插入图片描述

刷新完成安装

在这里插入图片描述

1）手动配置Splunk转发器

手动切换到此目录：
C:\Program Files\SplunkUniversalForwarder\etc\system\local
打开如下文件

C:\Program Files\SplunkUniversalForwarder\etc\system\local

#第一个文件splunk转发器认证配置（默认即可）
#第二个文件部署指定的splunk server端，deploymentclient.conf;内容如下所示：
[target-broker:deploymentServer]
targetUri = 192.168.1.10:8089   #server端ip


#第三个文件一般默认
#第四个文件转发模块，migration.conf,配置为true
[history]
checked_bad_monitor_regexes = true


第五个文件为推送配置outputs.conf
[tcpout]
defaultGroup = default-autolb-group

[tcpout:default-autolb-group]
server = 192.168.1.10:9997          #server端ip

[tcpout-server://192.168.1.10:9997]



#server.conf(默认即可)
[general]
serverName = SH5-BACKUP
pass4SymmKey = $7$9ThGrHDtIuOIFyQL+F8u7T/9csXt/6eTdYyndFQ4ZfmFtUZ1rqpCbA==

[sslConfig]
sslPassword = $7$EZRzO43Py2sF+IrLAX2XxQ6tYv5jxa+o/iH0qixD2pohbPB17uaziA==

[lmpool:auto_generated_pool_forwarder]
description = auto_generated_pool_forwarder
quota = MAX
slaves = *
stack_id = forwarder

[lmpool:auto_generated_pool_free]
description = auto_generated_pool_free
quota = MAX
slaves = *
stack_id = free

修改 splunk配置：
打开C:\Program Files\SplunkUniversalForwarder\etc\system\default\inputs.conf
查找WinEventLog模块，修改配置

在这里插入图片描述

配置完成后重启转发器：
打开本地服务管理：win+r —》services.msc

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

查看端口是否开启

在这里插入图片描述

2）splunk server配置添加

splunk 添加windows转发接收端口：
选择设置按钮，选择转发和接受选项

在这里插入图片描述

添加新增接受数据

在这里插入图片描述

配置监听的端口：9998（端口可自定义，按照配置端口）

在这里插入图片描述

splunk检索的索引配置：

在这里插入图片描述

我们选择以下方式：

在这里插入图片描述

选择已安装转发器 监听道到的设备

在这里插入图片描述
在这里插入图片描述

选择windows 日志文件位置,这里我们监控防火墙

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

Windows server设置防火墙日志

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

三个全部设置一下：
在这里插入图片描述

转到搜索，按照索引进行查找：

在这里插入图片描述

4.Splunk转发器安装linux（center os）

linux server上安装转发器

1）linux安装

#下载解压转发器
tar -zxvf splunkforwarder-8.2.2.1-ae6821b7c64b-Linux-x86_64.tgz   
#添加权限
chmod 755 splunkforwarder -R  
#配置转发器，进入转发器目录
cd splunkforwarder/bin


#splunk服务操作命令：
	./splunk start    #启动
	./splunk restart  #重新启动
	./spunk stop      #停止转发



#配置转发文件
cd /opt/splunkforwarder/etc/system/local/  #进入转发器配置功能
vim inputs.conf                            #创建inputs.conf文件
	[default]
	host=本机ip地址                         #配置在splunk服务器端显示的主机名
	[monitor:///var/log/*]                 #转发路径
	sourcetype=apache1	                   #配置固定的sourcetype
	index=panda	                           #配置固定的索引
	
vim outputs.conf                           #创建outputs.conf文件
	[tcpout]
	defaultGroup = default-autolb-group
	[tcpout:default-autolb-group]
	server = splunk平台ip:平台接收端口
	[tcpout-server:// splunk平台ip:平台接收端口]
	
vim deploymentclient.conf 
	[target-broker:deploymentServer]
	targetUri = splunk平台ip:平台接收端口




#splunk重启服务
 cd /opt/splunkforwarder/bin/
 ./splunk restart

2）splunk转发器主要配置

在这里插入图片描述

3）splunk配置

在这里插入图片描述

后面配置与windows类似，详情略

5.splunk安装部署

【splnuk部署安装】

posted @ 2022-05-14 01:26  ଲ小何才露煎煎饺  阅读(688)  评论(0)  编辑  收藏  举报