- windows 的dns日志目前在 wins 08之前的版本接入会出错,我自己实际部署过 wins2012是成功的
建议使用最新的 micorsoft add-on (当前版本8.0以上)去接入dhcp,下载地址https://splunkbase.splunk.com/app/742/ 。 然后将此包解压放到windows服务器上。
- 先在windows服务器安装 splunk forwarder。安装过程如下
输入用户名密码,这个不重要。然后deployment server这里不填
indexer这里输入 splunk 服务器的地址
- 将刚才解压完的add-on文件夹复制到 C:\Program Files\SplunkUniversalForwarder\etc\apps
- 进入该文件夹 default目录 ,用写字板打开 inputs.conf
找到dns这一节
修改为
[MonitorNoHandle://C:\Windows\System32\Dns\dns.log]
sourcetype = dns
disabled = 0
index = dnslog
然后在C:\Program Files\SplunkUniversalForwarder\etc\system\local 下创建props.conf 文件
CHARSET = GB2312
NO_BINARY_CHECK = true
- 接下来在 C:\Program Files\SplunkUniversalForwarder\bin 目录下找到文件 SplunkMonitorNoHandleDrv.inf ,右键点击选择安装
5.重启splunk 服务
- 测试,如果 C:\Program Files\SplunkUniversalForwarder\var\log\splunk\splunkd.log 文件如果出现以下 Error,则不会采集成功dns的日志
- 假如没有的话,回到splunk上,搜索 index=dnslog 应该就可以看到dns的日志,并且有自动解析字段