splunk集群

环境准备

逻辑结构

本次使用拓扑

注意事项

splunk平台版本要相同，可以在主节点使用添加扩展搜索节点和扩展搜索头。
复制因子决定扩展对等节点个数，搜索因子觉得扩展搜索节点个数，设置可以灵活修改。

三台splunk平台搭建完成后

对主节点做配置:

配置完成后需要重启

对等节点配置：

复制对等端口可以自定义

完成后重启

开启接收端口，在后面的配置转发器时使用

搜索节点配置

需要重启

转发器配置

https://blog.csdn.net/qq_39583774/article/details/120409576
需要修改地址为对等节点的地址：192.168.252.159 端口可自定义，我上面使用的10010端口

解决问题：
配置完成后可以在对等节点上搜索数据也可以在搜索节点搜索，如果报错，修改搜索节点/opt/splunk/etc/system/local/server.conf文件，将serverName = localhost.localdomain修改为serverName = localhost.localdomain1重启即可
配置完成后查看搜索数据，可以在三个节点上搜索。