Splunk HEC 开启8088 port

今天新配置的index 后端是8088 端口，前端HEC, 发现index server 上面8088 port 没有打开。

原因：

indexer 没有把HEC 服务打开，如果是 single instance 单node 的话，在界面: setting -> data input -> HEC 就可以啦。

下面说 集群的解决方法：

1: go to CM (cluster master) server: /opt/splunk/etc/master-apps/

看有没有app, 如果没有新建的app，下面就去 _cluster 这个app 下面：

2: 先创建一个token:

#uuidgen
152860bb-e150-4ee3-8d18-053e7092754a

3: 创建hec inputs 文件：

cat inputs.conf
[http]
disabled = 0

[http://hec_test]
disabled = 0
index = cpx
sourcetype = cpx_s
token = 152860bb-e150-4ee3-8d18-053e7092754a

4: 创建indexes.conf:

[cpx]
coldPath = $SPLUNK_DB/cpx/colddb
enableDataIntegrityControl = 0
enableTsidxReduction = 0
homePath = $SPLUNK_DB/cpx/db
thawedPath = $SPLUNK_DB/cpx/thaweddb
repFactor = auto

5: 发布到index: splunk apply cluster-bundle

6: go to indexer server:

/opt/splunk/etc/salve-apps/ 发现刚才CM的app 过来啦， 而且看一下 port:

netstat -an | grep 8088

发现已经存在啦～