https://community.splunk.com/t5/Getting-Data-In/Which-sourceType-to-select-on-new-Indexer-for-UF-forwarding/m-p/91469#M19020 <P>I setup a new Splunk receiver today. Setup a TCP listenner on 9993, wasn't sure what sourceType so selected Syslog, then setup a new index called WinEvents. Then I installed UF on separate Windows host and configured it to forward all events to SplunkServer:9993/TCP</P> <P>I'm not sure why all events appear like this... is syslog the wrong sourceType?</P> <P>-splunk-cooked-mode-v3--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x008090\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00\x00\x1\x00\x00\x00\x13__s2s_capabilities\x00\x00\x00\x00\x14ack=0;compression=0\x00\x00\x00\x00\x00\x00\x00\x00\x5_raw\x00<BR /> host=myhostname Options| sourcetype=syslog Options| source=tcp:9993 Options</P> Mon, 28 Sep 2020 09:59:01 GMT mikefoti 2020-09-28T09:59:01Z https://community.splunk.com/t5/Getting-Data-In/Which-sourceType-to-select-on-new-Indexer-for-UF-forwarding/m-p/91469#M19020 <P>I setup a new Splunk receiver today. Setup a TCP listenner on 9993, wasn't sure what sourceType so selected Syslog, then setup a new index called WinEvents. Then I installed UF on separate Windows host and configured it to forward all events to SplunkServer:9993/TCP</P> <P>I'm not sure why all events appear like this... is syslog the wrong sourceType?</P> <P>-splunk-cooked-mode-v3--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x008090\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00\x00\x1\x00\x00\x00\x13__s2s_capabilities\x00\x00\x00\x00\x14ack=0;compression=0\x00\x00\x00\x00\x00\x00\x00\x00\x5_raw\x00<BR /> host=myhostname Options| sourcetype=syslog Options| source=tcp:9993 Options</P> Mon, 28 Sep 2020 09:59:01 GMT https://community.splunk.com/t5/Getting-Data-In/Which-sourceType-to-select-on-new-Indexer-for-UF-forwarding/m-p/91469#M19020 mikefoti 2020-09-28T09:59:01Z https://community.splunk.com/t5/Getting-Data-In/Which-sourceType-to-select-on-new-Indexer-for-UF-forwarding/m-p/91470#M19021 <P>Found the problem/solution. <BR /> I had created the TCP listener using the WebUI incorrectly. <BR /> I started by clicking on: Data Inputs &gt; TCP &gt; etc. <BR /> Where I should have started is :<BR /> Forwarding and Receiving &gt; Configure Receiving &gt; New</P> <P>The difference in these two starting points is the resulting entry in the inputs.conf file mentioned here:<BR /> <A href="http://answers.splunk.com/questions/10346/splunk-is-adding-weird-strings-like-linebreaker-x00-x00-to-my-events-what-is">http://answers.splunk.com/questions/10346/splunk-is-adding-weird-strings-like-linebreaker-x00-x00-to-my-events-what-is</A></P> Thu, 13 Oct 2011 20:17:26 GMT https://community.splunk.com/t5/Getting-Data-In/Which-sourceType-to-select-on-new-Indexer-for-UF-forwarding/m-p/91470#M19021 mikefoti 2011-10-13T20:17:26Z