shenghuiping2001的专栏

splunk 对json 格式的解析是要有{}

Splunk bucket 找不到primary 的报错处理。

splunk 升级到8.2.4 对机器的本身对硬件也提高了，报错也多了。

splunk 的search head 和capitain 不同步，就会显示不一样的dash board. alert. report 等。

splunk 中 event 要是合并成一条是很难读的，用户很难得到想要的结果，所以要切割。

收集 Splunk 小技巧，技巧虽小，能解决问题就可以。

splunk 8.1.7.2: clustermaster, 但是在8.2.4 中变成了: clustermanager.

Splunk 对用户的搜索研制有一套：每天只能用多长时间，只能查询哪个host, 只能查询多少天前的数据等。

splunk 移除index 节点的操作方法 + 注意点。

splunk 中的limis.conf 文件对splunk 的查询可以突破rawdata 的限制

splunk 里面inputs.conf 文件定义好host 的值，也是一种快速实现host 分类的方法。

splunk : host_regex 是很强大的，有些正则在splunk single instance 里可以打到目的，可是在cluster 环境中，配置: mills server (forwarder ) /opt/splunk/etc/apps/app_name 下面配置inputs.conf 就有问题。

syslog-ng service 在接受数据方面发挥了很大作用。

参与production: 新增加 indexer 的过程，直到有新的数据进入indexer.

一时兴起，搭建一个属于自己的邮件服务器玩玩！

splunk 打开https, 可以通过创建app 的方式，很高效达到这种效果。

不同的splunk 的插件对主版本的要求不一样，有的太高也不行，太低也不行，indexer 还不能比search head version 高，还有forwarder 还不能比indexer 高。

升级splunk 来解决一些性能，和fix 一些未知的问题，还是不错的。

利用 GNU 的 parted 进行分割行为，是对大容量disk 的分区福音。

Splunk Quarantine 是会slow spunk search 的，通常在维护的时候用。