forward data shaped on 250mbps and event

[dobbelden]

Hai

saya memiliki firewall yang mengirim data syslog ke HF splunk saya

masalah saya adalah ketika data aliran syslog menjadi tinggi (lebih dari 130mbps), data. HF pada maksimum 150mbps (berbentuk grafik jaringan) dan peristiwa hilang
tidak ada kesalahan atau log yang menunjukkan apa yang terjadi pada data atau peristiwa saya di HF, UF, Pengindeks (tidak ada antrian, bufer atau kesalahan koneksi, tidak ada kesalahan atau kesalahan peringatan splunkd.log)

ada banyak Sumber Daya Hardware pada semua S p lunk Clu s ter VM: 12Core CPU (2.4Ghz) 20GB Ram dan SSD di semua splunk VMS

catatan (id o nt menggunakan acara penyaringan atau proses khusus pada data di HF dalam belum, hanya data yang masuk dan ke depan)

[richgalloway]

Have you looked at the same system that produced the network graph to see if there are any messages that might explain the lost events?

I understand your firewall is sending syslog events directly to the HF.  This is not the preferred way to send syslog to Splunk.  The preferred way is to send the events to a dedicated syslog server (syslog-ng or rsyslog) and then use a UF to forward them to Splunk.  An even better way is to use the Splunk Connect for Syslog (SC4S) app to receive the syslog events and send them directly to Splunk via HEC.

Pernahkah Anda melihat sistem yang sama yang menghasilkan grafik jaringan untuk melihat apakah ada pesan yang mungkin menjelaskan peristiwa yang hilang?

Saya memahami firewall Anda mengirimkan acara syslog langsung ke HF. Ini bukan cara yang disukai untuk mengirim syslog ke Splunk. Cara yang lebih disukai adalah mengirim acara ke server syslog khusus (syslog-ng atau rsyslog) dan kemudian menggunakan UF untuk meneruskannya ke Splunk. Cara yang lebih baik lagi adalah dengan menggunakan aplikasi Splunk Connect for Syslog (SC4S) untuk menerima acara syslog dan mengirimkannya langsung ke Splunk melalui HEC.