topic Re: splunk cooked mode v3 in Splunk Search

splunk cooked mode v3

dahada2010 — Tue, 29 Sep 2020 15:02:56 GMT

Data received from universal forwarder is displaying as below. Please advise how to get it as normal text.

--splunk-cooked-mode-v3--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00Xsuite\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x008089\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00@\x00\x00\x00\x00\x00\x00__s2s_capabilities\x00\x00\x00\x00ack=0;compression=0\x00\x00\x00\x00\x00\x00\x00\x00_raw\x00

Re: splunk cooked mode v3

martin_mueller — Mon, 24 Jul 2017 07:41:59 GMT

Make sure you have the input on the indexers set to splunktcp, not tcp.

Re: splunk cooked mode v3

dahada2010 — Tue, 25 Jul 2017 00:30:08 GMT

Hi Martin,

thank you for the answer. if you can, can you be more specific with which file we need to modify?

thanks,

Re: splunk cooked mode v3

esix_splunk — Tue, 25 Jul 2017 00:43:39 GMT

Your inputs.conf on the server.

Re: splunk cooked mode v3

dahada2010 — Tue, 25 Jul 2017 02:26:35 GMT

I have modified inputs.conf in /etc/system/default and local before with splunktcp://port but no luck.

Also receiver is not working. only work with TCP local port to get logs but all cooked data.
any help would be appreciated.

Re: splunk cooked mode v3

martin_mueller — Tue, 25 Jul 2017 12:17:44 GMT

Do NOT edit things in etc/system/default. Those are default values, not meant for local changes. For local changes, use local rather than default. https://docs.splunk.com/Documentation/Splunk/6.6.2/Admin/Configurationfiledirectories

What you describe - tcp port rather than splunktcp port - is exactly what's causing the indexer to not treat the cooked stream as cooked, and instead to index it as-is.

turn off all tcp inputs you use to recieve data from forwarders (settings -> data inputs -> tcp)
turn on receiving for those ports (settings -> forwarding and receiving -> configure receiving)