1.     Splunk接收器开启

在Splunk服务器安装目录，执行./splunk enable listen 9997 –auth<username>:<password>

                Username默认为splunk web登陆用户名

                Password默认为splunk web登陆密码

./splunk enable listen 9997 –auth admin:changme

2.          Splunk转发器安装(Linux下安装，Windows的直接下一步)

                http://www.splunk.com/download/universalforwarder下载对应版本的转发器

                rpm –ivh splunkforwarder-6.1.3-220630-linux-2.6-x86_64.rpm

      cd /opt/splunkforwarder/bin

      #启动splunk

      ./splunk start

      #自启动splunk

      ./splunk enable boot-start

      #确认转发器已经连接到接收器

      ./splunk add forward-server 192.168.160.98:9997

      #查看可用splunk接收器列表

      ./splunk list forward-server

      #让转发器收集/var/log/varnish日志

      ./splunk add monitor /var/log/varnish

      #指定固定索引收集日志，需在splunk服务器上事先创建好索引varnish

      ./splunk add monitor /var/log/varnish –index varnish

      #这样做完基本ok了，但是在提取字段的时候异常麻烦，所以我们要指定下sourcetype的固定名称，方便搜索

      cd /opt/splunkforwarder/etc/apps/search/local

      vim inputs.conf

        sourcetype=varnish

      /opt/splunkforwarder/bin/splunk restart

3.          Splunk语句搜索

      #如果用的是自定义索引，搜索时要指定index

      index="varnish" sourcetype="varnish"

      OK，接下来可以针对sourcetype=”varnish”的提取字段了。

splunk的conf文件具体可参考：http://docs.splunk.com/Documentation/Splunk/latest/Admin/Serverconf