topic Re: --splunk-cooked-mode-v3-- in Getting Data In

--splunk-cooked-mode-v3--

ProvSA — Thu, 03 Jun 2021 11:07:29 GMT

Hi,
We have configured a Windows Server with Splunk, and when Splunk receives the logs is displaying as below:

--splunk-cooked-mode-v3--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00splunkhostname\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x008089\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00\x00\x00\x00\x00__s2s_capabilities\x00\x00\x00\x00ack=0;compression=0\x00\x00\x00\x00\x00\x00\x00\x00_raw\x00

Any solution?

We tried differents things but we can't get anything

Re: --splunk-cooked-mode-v3--

harsmarvania57 — Thu, 03 Jun 2021 12:28:54 GMT

It looks like you are sending traffic from Splunk UF to Indexer/HF on TCP port not on splunktcp port. Can you please share inputs.conf from HF/IDX whoever is receiving data from UF (Mask any sensitive data) ?

Re: --splunk-cooked-mode-v3--

ProvSA — Fri, 04 Jun 2021 10:49:33 GMT

Hello,

In the inputs.conf we have the following:

Are we missing anything?

Thanks!

Re: --splunk-cooked-mode-v3--

harsmarvania57 — Fri, 04 Jun 2021 10:52:57 GMT

Are you sending logs from Windows UF to Indexer on port 9997 ?

Re: --splunk-cooked-mode-v3--

ProvSA — Fri, 04 Jun 2021 11:48:15 GMT

Yes, is it wrong?

Re: --splunk-cooked-mode-v3--

harsmarvania57 — Fri, 04 Jun 2021 12:05:35 GMT

That is correct, do you have below configuration in inputs.conf on HF/IDX ?

[tcp://....]

Are there any other systems sending logs to HF/IDX?

Re: --splunk-cooked-mode-v3--

ProvSA — Mon, 07 Jun 2021 09:29:19 GMT

Yes, we have an Ubuntu that sends the logs through syslog and it works correctly