是否在每台生成日志的机器上都安装了 splunk 转发器？

Question

我正在尝试了解 splunk 架构，但对有关该主题的文章感到困惑。

我了解转发器从物理日志文件中检索信息并将其转发给索引器，但我不明白转发器如何实现这一点。

进一步来说：

1. 您是否需要在每台虚拟机或物理机上安装一个转发器，它会生成可以将此信息推送到索引器的日志文件，或者是否有一个中央转发器可以连接到各种应用程序主机并提取日志信息以转发到索引器还是两个选项都可用？

任何反馈将不胜感激。

谢谢，

鲍勃

Answer 1

它可以通过任何一种方式完成。 最佳实践是将转发器放置在尽可能靠近数据源的位置。 这将意味着在将从其索引日志的机器上安装一个 UF。 这通常是最简单的方法。

可以使用从多个主机收集日志的中央转发器。 应注意确保正确的主机名与每个日志相关联。