weixin_43175581的博客

其实splunk官网也是有关于转发器和平台适配的速查表，可以对照下。一般情况，同版本的uf和平台enterprise是兼容的。后面排查了下，是因为新版的uf缺少glibc库。后面我重新装了我的老版本splunk 8.2.1版本的时候，未发现报错。

Splunk 能获取任意设备的原始数据，然后将分成一个个64k的块，并向其中添加一些元数据键，诸如主机名hostname、来源source、来源类型sourcetype、索引index、字符集编码character enconding等。Splunk 解析日志数据，方法是将日志数据分成几行、识别时间戳、创建单个事件并使用元数据键对其进行注释，形成一个个键值对。这里所呈现的是splunk 单机部署模式，将所有功能（数据搜索、索引、解析、输入）都集中在一个节点上。

各位正在观看我博客的大咖们，你们好！之所以开这个专栏，是想记录下自己如何从完全不懂splunk的小白，到能部署及高效管理中小型企业规模splunk集群的学习历程，中间也遇到过很多坑，希望能够给大家带来一些启发。