[ Splunk Project : 서버 구축 ] 6 ) Universal Forwarder를 Enterprise에 연결하기

Indexer로 사용할 Enterprise 인스턴스의 수신 설정을 완료하였다.

이제  Indexer에 UF을 연결해보자!

 

앞으로의 과정은 UF 서버 내에서 수행되어야 한다.

 

유니버셜 포워더는 .conf 파일을 편집함으로써 설정할 수 있는데

텍스트 편집기 또는 명령줄을 통해 편집하는 등 일반적인 파일 편집 방법으로 편집하거나

Splunk 배포 서버를 사용할 수 있다.

CLI를 사용하여 설정을 변경하면 유니버셜 포워더가 설정 파일을 작성해서 오타와 같은 사소한 실수를 막아줌으로

나는 CLI 환경에서 설정을 변경하고자 한다.

 

 

 

[ Step 1 ] 수신 인덱서에 연결하도록 유니버설 포워더 설정

./splunk add forward-server < indexer의 도메인 이나 ip 주소 >  : < 포트 번호 >

 

수신인덱서에 연결하는 과정

입력된 outputs.conf 내용

 

 

[ Step 2 ] 베포 서버에 연결하도록 유니버셜 포워더 설정

./splunk set deploy-poll < indexer의 도메인 이나 ip 주소 >  : < 포트 번호 >

 

배포 서버에 연결

 

배포 서버 연결을 좌지우지하는 파일은 deploymentclient.conf이다.

 

입력된 deploymentclient.conf

 

 

[ Step 3 ] 포워더에서 데이터 입력 설정

데이터 입력 설정

search/local 에 생성된 inputs.conf

inputs.conf에 입력된 내용

 

[ Step 4 ] Universal Forwarder 재시작

 

이제 enterprise web에 들어가서 데이터가 들어왔는지 확인해보자!

 

host가 universal forwarder인 데이터가 입력되었다.