我们可以让不同的日志文件转到 Splunk 中的不同索引器吗？

Question

我有一个带有 20 个索引器的分布式 Splunk 部署。 我有多个日志文件需要监控。 我希望日志文件 X 由索引器 1-15 索引，日志文件 Y 由索引器 16-20 索引。 如何才能做到这一点？有可能吗？

我知道如何配置多个索引器或多个索引。我想知道如何将某些索引路由到一组索引器，并将另一组索引路由到第二组索引器。

Answer 1

如 Splunk's Docs 中所述，您要做的是在 outputs.conf 中配置两组索引器（您可能还想将一组或另一组索引器设置为默认组）。然后在 inputs.conf 中，您可以设置 _TCP_ROUTING 指向一组或另一组索引器。