Splunk Forward简单部署_Win

1、关闭所有机器的防火墙(主要是在Win7Splunk Server开防火墙)

2、在192.168.1.236上安装Splunk

3、在192.168.1.237上安装SplunkForward

Deployment Server：192.168.1.236：8089

Receiving Indexer：192.168.1.236：9997

Path to monitor处选择，自己编写的测试日志文件

4、管理器、转发和接收、配置接收、新增、9997

5、搜索index=_internal source=*forwarder*会有数据

（刚装完时搜索index=_internal大约有2500条）

在安装Splunk Forward之前搜索index=_internalsource=*forwarder*是没有任何一条的

6、默认搜索，在输入框中输入匹配符" * "（或者index=default*）后会将自己编写的测试日志 文件搜出来。

7、如果是多行合一的话修改测试日志文件中的某一行，再次搜索

或者在测试日志中加入apache日志时间戳[16/May/2013:00:07:22]

备注从9997传来的数据存放目录：C:\Program Files\Splunk\var\lib\splunk\defaultdb默认索引