为splunk打开FW端口

Question

我需要打开一些防火墙端口，以便我们服务器上的splunk代理可以与Splunk通信。

我们的splunk设置分为以下服务和端口：

 Splunk Web/API  443, 8009, 8090, 8089
 Splunk Cluster Master 8000, 8001
 Splunk Deployment Server   8000, 8002, 8089
 Splunk Intermediate Forwarder TCP:6514:6514,6515,6516
                               TCP:514:10514,10515,10516
                               TCP:9997:9997,9998,9999
                               TCP:11514:11514
                               TCP:11515:11515
                               TCP:11516:11516
                               TCP:11517:11517

我需要打开哪些端口，以便splunk代理可以将日志发送到splunk服务器？那么您在配置中指定的来自该服务器的所有日志都将显示在splunk界面中？

Answer 1

基线：货代需要连接到indexer:9997和deployment-server:8089。这些是角色。 indexer也可以是“胖转发者”。

BTW：

1. 您使用奇怪的格式显示开放端口，请检查并省略未严格用于服务主要目的的端口。 （即，端口8002上接收的部署服务器是什么？）
2. 取决于1.我可以详细说明这个答案

Answer 2

所有管理功能（部署，许可等）都发生在端口8089上。 Splunk的默认数据提取端口通常为9997，soooo ...

1. 如果要从部署服务器配置转发器，请确保它可以通过端口8089访问部署服务器
2. 如果您希望配置的转发器将数据发送到索引器，则在转发器和所有索引器之间打开端口9997。我说的都是因为我不确定你是否有一个集群。

这是为了获取数据。如果您的复制数据，或具有搜索头群集或群集主数据，情况会有所不同。

端口8000用于访问Splunk Web，端口8090通常是任何Splunk CORE设备上HTTP输入的默认端口。

之后，端口看起来自定义保存514（syslog）。您可能需要深入了解部署并找出这些端口上的内容。