Splunk App for Active Directory kurulumu

Splunk'u giderek seviyorum ama hakkını vermek lazım, beni çok uğraştırıyor. Bence dokümantasyonu dolgun ve yeterli gibi görünse de kafa karıştırıcı. İşleri sıralı bir prosedür ve birbirini takip eden konular halinde anlatamıyor sanırım. Ya da ben anlamakta zorlanıyorum, bu da ihtimal dahilinde elbet. :)

"Splunk app for Active Directory" konusunda da önceki postalarımdakinin aynısı oldu. Prosedürü aynen uyguladım. Çalışmadı, beklediğim sonucu vermedi. Uğraştım, forumlara yazdım, prosedürleri üçüncü, beşinci kez okudum. Yine olmadı. En sonunda da bilimselliğe aykırı olarak "kendiliğinden" düzeldi.

Bu "kendiliğinden" oldu veya "zamanla düzeldi" beni sahiden de illet eden bir açıklama türü ama mantıklı açıklamasını bulamadığım zamanlarda başvuracak başka bir yol kalmıyor malesef.

Neyse, biz ne yaptık da ne oldu kısmına geçelim lafı uzatmadan.

1- Splunk içinden "Active Directory app" yüklenir.

2- Splunk içinden "Universal forwarder" tarafından gönderilecek veriyi dinleyecek bir alıcı (receiver) oluşturulur.

3- Universal Forwarder DC'ye kurulurken , ben bir deployment server kullanmadığım için bu adımı boş geçtim.

4- Splunk serverı işaret edilecek. Port, daha önce oluşturduğumuz alıcı ile aynı port. Dikkat !

5- SSL sertifikasını boş bıraktım.

6- splunk adında bir AD hesabı oluşturdum ve minimum Account operator yetkisi verdim. Daha fazlası veya azından kurulum belgelerinde bahsedilmiyor, tedbiren :) DC'ye kurduğumuz için re

7- Hiç bir girdi türünü seçmedim. Normal olarak kurulumun bu adımdan sonra başarıyla tamamlanması ve servisin çalışması gerekiyor.

Splunk kullanım testleri (1)

Şeytan dürttü, Graylog ile aynı ortamda Splunk kurarak bir karşılaştırma yapayım dedim. Çerçevesini iyi belirlemek gereken bir karşılaştırma olduğunu farkındayım. Splunk gibi çok güçlü bir ürünle açık kaynak Graylog'u işlevsellik açısından yarıştırmak gibi bir hataya düşmeyeceğim. Amacım aynı gelen verinin her iki sistem üzerinde birbirine göre ne gibi farklılıklar oluşturduğunu, kaynak ve lisans kullanımını nasıl değiştirdiğini görmek gibi nesnel sınırlarda kalmak olacak.

Graylog'u 7 ESX 5.5 sunucusundan gelen logları izlemek üzere kurmuştum. Tüm ESX'lerde syslog yönlendirmesi bu CentOS sunucuya ve üzerindeki rsyslog'a yapılmıştı. Rsyslog da aynı sunucu üzerindeki Graylog'a 10514 (UDP) portuna syslog yönlendiriyordu.

Splunk'u ayrı bir CentOS sunucusu üzerine kurdum. Graylog'un rsyslog'undan da bu sefer 514 (UDP)'ye yönlendirme yaptım.

Ortaya çıkan sonuçlar bana göre ilginç oldu :

7 tane ESX sunucusundan asgari Info ve üstü seviyeden gelen loglar (Toplamda 100 VM var) Splunk'da gayet düşük yer kaplıyor. Bu anlamda disk kullanımının "makul" olduğunu söyleyebiliriz. Bakınız, üstteki görüntü.

7 tane ESX sunucusunun sysloglarını barındırdığımız CentOS sunucusu alışkanlık olduğu üzere mütevazi kaynaklara sahip. Altta orta-seviye bir disk depolama sisteminde çalışan 2 GB RAM ve 2 vCPU'su olan bir sunucu kullandım. Yukarıdaki görüntüden de anlaşılacağı üzere 4 milyon satır üzerinde kayıt birikmiş durumda ve indeksleme-arama sonuçları yine makul ve üstü düzeyde.

Gelelim konunun can alıcı kısmına. Yine hatırlatmak için söyleyeyim Splunk'un lisans kullanımını etkileyen şey dışarıdan gelen verinin Splunk'da depolanma durumu. Günlük 500 MB'a kadar sistem herhangi bir lisans ihlali üretmiyor.
Yukarıdaki grafik bu bağlamda incelendiğinde yine olumlu bir durum görmekteyiz. 100 VM'in koştuğu , 7 ESX sunucunun olduğu bir ortamda üretilen syslog verisi Splunk için günde 50 MB'ı aşmıyor. Bu, kendi ortamlarımızda ölçeğin hesaplanabilmesi için çok değerli bir bilgi sanırım.

Genelde lisans kullanımı %25'in üzerine çıkmamış.

Toplamda son 7 günde 250 bin kaydın depolandığı görülüyor. Bunun +/- %20 kadar sapması olabileceğini düşünüyorum. O konulara da ayrıca başka bir yazıda gireriz. :)

Graylog kullanım örnekleri (3)

Bu Graylog kağıt üzerinde kulağa hoş geliyor da, bunu gerçek hayatta nasıl kullanırız ? şeklinde sorular almaktayım. Tam da bu aralar sorular artmışken, yaşanmış bir olayda Graylog'u kullanma imkanı bulduk. Onu aktarmak isterim.

Müşteri, "kurduğunuz ESX 5.5 ortamında yavaşlama var, nedenini anlayamıyoruz..." şikayetiyle başvurdu. Tüm ESX sunucuları, storage kaynakları, SAN switchler vs.de yaptığımız incelemelerde performans grafikleri üzerinden hiç bir dalgalanma ve ani değişim göremedik. Güzel bir senaryo, şikayet var ama belirti yok :)

Neyse ki tüm ESX sunucularından logları Graylog'a yönlendirmiştik. Yaptığımız taramada [Warn] seviyesinde ESX sunucularının hakikaten şikayet etmeye başladığını gördük.

Sonra başka şeyleri kurcalamaya başladık. İş Qlogic HBA kartlarının firmware güncellemesine kadar gitti. Ancak diğer taraftan bir şekilde vCenter 5.5 sunucusunda SQL express ile kurulum yapılmış (biz değiliz :) ) ve SQL express 2008'in veritabanı maksimum büyüklüğüne erişilmiş olduğunu gördük. Eski veriyi silmeye başladık.

Sabah her şey yolundaydı. Yavaşlık bitmiş, müşteri mutlu. Ancak ESX sunuculardaki yavaşlık ile vCenter SQL DB'sinin dolmasını nasıl korele edersiniz ve bunu müşteriye anlatırsınız ? Normal şartlar altında algı sorunu SAN / Network tarafında aramaya meyilli olduğundan anlatmak da zor, ikna etmek de. Ancak dikkatli birisi, mesai sonrası saatlerde sistemi izliyor olacak ve SQL shrink bittiğinde de yavaşlığın kesildiğini gözlemleyecek. Her babayiğidin harcı değil. Ayrıca müşteriden bunu beklemek de haksızlık bir anlamda. Son olarak, bu iki başlığı birleştiren aramalarımda da net bir KB veya forum bilgisine rastlamadığımı ekleyeyim.

Aşağıdaki grafik her şeyi gösteriyor. Olaya konu olan hata mesajları bazında yapılan bir arama sonucu ve grafiğine göre, akşam 19.00 itibariyle shrink bittikten sonra ESX sunucularından gelen olaylar bıçakla kesilir gibi kesilmiş. Doğru kelime dizgileri ve basit mantıksal operatörlerle elde edilen ikna edici bir gösterge. Bunu sözle söylemek farklı, grafikle ispat etmek farklı.

Daha ne olsun :)

Graylog kullanım örnekleri (2)

Basit bir graylog sunucusunun nasıl kurulacağı hakkında İngilizce çok sayıda yazı görüyorum ancak Türkçe kaynak sayısı oldukça kısıtlı. Bu çorbada tuzum olmasını istedim ve denenmiş, kontrolleri yapılmış bir kurulum prosedürünü yayınlamak istedim.

Bu ortam 2 GB RAM ve 2 vCPU kullanan bir CentOS 6.6 üzerinde çalıştırılmıştır. Günde 2 milyon satıra yakın log toplayabileceği test edilmiş ve görülmüştür.

Genel

---

# chkconfig iptables off

# service iptables stop

# vi /etc/selinux/config

     SELINUX=disabled

Java yüklemesi

---

su -c "yum install java-1.7.0-openjdk"

Elasticsearch

---

# rpm --import https://packages.elasticsearch.org/GPG-KEY-elasticsearch

# vi /etc/yum.repos.d/elasticsearch.repo

     [elasticsearch]

     name=Elasticsearch repository for 1.5.x packages

     baseurl=http://packages.elasticsearch.org/elasticsearch/1.5/centos

     gpgcheck=1

     gpgkey=http://packages.elasticsearch.org/GPG-KEY-elasticsearch

     enabled=1

# yum install elasticsearch

# chkconfig elasticsearch on

# vi /etc/elasticsearch/elasticsearch.yml

     cluster.name: graylog2

# service elasticsearch start

MongoDB

---

# vi /etc/yum.repos.d/mongodb.repo

     [mongodb]

     name=MongoDB Repository

     baseurl=http://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/3.0/x86_64/

     gpgcheck=0

     enabled=1

# sudo yum install -y mongodb-org

# chkconfig mongod on

# service mongod start

graylog

---

$ sudo rpm -Uvh https://packages.graylog2.org/repo/packages/graylog-1.0-repository-el6_latest.rpm

# yum install graylog-server graylog-web

# chkconfig graylog-server on

# chkconfig graylog-web on

# echo -n AbraKadabra |sha256sum

     c57043562419912d3b15e1679665994d329a2f9a379b4b16a524456bdc396dec

# vi /etc/graylog/server/server.conf

     password_secret = AbraKadabra

     root_password_sha2 = c57043562419912d3b15e1679665994d329a2f9a379b4b16a524456bdc396dec

     root_timezone = Europe/# Email transport

     transport_email_enabled = true

     transport_email_hostname = mail.firma.com

     transport_email_port = 25

     transport_email_use_auth = false

     transport_email_use_tls = false

     transport_email_use_ssl = false

     #transport_email_auth_username = you@example.com

     #transport_email_auth_password = secret

     #transport_email_subject_prefix = [graylog2]

     transport_email_from_email = graylog2@firma.com

# vi /etc/graylog/web/web.conf

     graylog2-server.uris="http://127.0.0.1:12900/"

     application.secret="AbraKadabra"

     timezone="Europe/Istanbul"

# service graylog-server graylog-web start

Web arayüzü

---

TCP ve UDP 10514 syslog inputları oluşturulur.

Graylog kullanımı örnekleri (1)

Splunk’un aşırı yüksek lisans ve EPS maliyetleri nedeniyle uzun zamandır ihtiyaçlarımı görecek bir log yönetim yazılımı arıyordum. Aradığım yazılım yüksek hızda indeksleme yapabilmeli, performansı Splunk’ı aratmamalı, yani aslında Splunk’ın ücretsiz hali gibi bir şey olmalıydı. Çıtayı Splunk seviyesinden koyarak doğru mu belirliyoruz bu seviyeyi emim değilim ama net olan şu, Splunk  malesef fazla pahalı. Splunk Light ile $75 / ay fiyatlı daha düşük kapasiteli bir ürün ile bu dezavantajı kapatmaya çalışıyorlar ancak fiyat / EPS / depolama kapasitesinin yaratacağı sıkıntılar nedeniyle ben Türkiye pazarında Splunk Light’ın tutunacağına inanmıyorum. O nedenle bu seçenek de benim için ihtimal dışı.

Diğer yandan da kabul etmek lazım ki, Splunk iyi bir ürün. Belki de endüstri standartı oldu. VMware’in de ürünü kendisine entegre etmesi bunun bir göstergesi. Vazgeçmemek adına ücretsiz halini kullanmak istesek bile, olaylarda eposta gönderimi yapma özelliğinin kapalı olması büyük handikap. Bu imkanı göz ardı ederek yine de Splunk kullanırım ! diyenlere ancak hitap ediyor bu haliyle. Ben ise malesef ihtiyaçlarımı listelediğimde olaylar karşısında eposta ile uyarı iletme özelliğinden vazgeçemiyorum.

Elasticsearch tabanlı Logstash/ Kibana ve Graylog ikilisini bu anlamda bir süredir takip ediyor ve deniyorum. Bugün bunlardan Graylog hakkındaki düşüncelerimi yazmaya çalışacağım. Graylog’u 0.80 sürümünden bu yana takip ediyorum. O dönemlerde kurulumu da daha zordu, kullanımı da. Oysa ki 1.0.x sürümleriyle birlikte gerçekten olgunlaştı. Küçük sanal Linux sunucuları üzerinde bile çalıştırır ve yönetebilir hale geldim. Şu an bir müşterimdeki tüm VMware ESX sunucuları, VMware Horizon View sunucuları ve Hitachi HUS storageları bu yazılım üzerinden izliyorum..

Günde yaklaşık 1 milyon satır log topluyorum. 8 GB RAM / 50 GB diski olan bir Centos 6.x sunucuda takır takır çalışıyor.

Syslog deyince tabi irkilenler olabilir. Malum üreticilerin çoğu RFC 'lere uygun syslog üretmiyorlar. Bu nedenle de Graylog gibi yazılımların bunu anlaması zor olabiliyor. Nitekim ESX 5.x sunucularından gelen syslog'u Graylog anlamakta ve yerleştirmekte sorun yaşadı. Biraz araştırmak zorunda kaldım ama doğru Rsyslog şablonunu yazınca bu sorun da çözüldü.

Yaşanan başka bir sorun da (aşılması güç değil) Mongo DB ile oluyor. Cache loglarının diski doldurmasını engellemek için küçük log ayarına dönmek yeterli oluyor.

En rahat çalıştığım loglardan biri de VMware Horizon View logları oldu. Doğru şablonla çalışınca bu loglar da sisteme rahatça alındı ve yapılandırıldı.

Şimdilik memnunum. Uzun zamandir kullanıyorum ancak bu kadar olgunlaşmasını beklemek iyi oldu bu konu hakkında yazmaya başlamak için sanırım. Doğru zamanlama. İzlenimlerimi paylaşmaya devam edeceğim.

VMware / Troubleshooting Network Teaming Problems with IP Hash

Bir süredir ihmal ediyorum buraları. Tekrar dönmeye karar verdim.

Bugün bir müşterimizde konusu geçti. IP hash / EtherChannel kullanımında maksimum bant kullanımını nasıl sağlarım ? diye sordu. Dilim döndüğünce anlattım tabi. Ancak güzel bir makale ile desteklemek istedim. Ektekini buldum.

http://blogs.vmware.com/kb/2013/03/troubleshooting-network-teaming-problems-with-ip-hash.html

Troubleshooting Network Teaming Problems with IP Hash

Cisco VPN client ve Windows 8

Cisco VPN client kullanmam gerekti Windows 8 laptopumda ve her ölümlünün VPN istemcilerinde yeni OS'larla yaşadığı sorunu ben de yaşadım. İlk kurulum sonrası çalışmadı.

Küçük bir forum araştırması sonucunda bunun da çözümü bulundu.

https://supportforums.cisco.com/discussion/11767626/windows-8-installation-vpn-client-software-x86-64-bit-version-results

Aynen aktarıyorum.

1. Open Registry editor by typingregedit in Run prompt

2. Browse to the Registry Key HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\CVirtA

3. Select the DisplayName to modify, and remove the leading characters from the value data upto "%;" i.e.

- For x86, change the value data from something like "@oem8.inf,%CVirtA_Desc%;Cisco Systems VPN Adapter” to "Cisco Systems VPN Adapter”

- For x64, change the value data from something like "@oem8.inf,%CVirtA_Desc%;Cisco Systems VPN Adapter for 64-bit Windows” to "Cisco Systems VPN Adapter for 64-bit Windows”

LVM'in dezavantajları

Üzerinde çalışırken LVM'in dezavantajları hakkında bulduğum önemli bilgileri bir başlık altında toplamak istedim.

LVM dangers and caveats

http://serverfault.com/questions/279571/lvm-dangers-and-caveats

Using LVM and understanding the risks of using defaults

http://blog.pantek.com/2009/11/using-lvm-and-understanding-risks-of.html

Using LVM mirroring for disaster recovery?

http://blog.continuitysoftware.com/2009/12/20/using-lvm-mirroring-for-disaster-recovery/

Oracle Linux Kickstart Install : failed to open /tmp/ks.cfg

Diyelim ki canınız sıkıldı, Oracle Linux sunucunuzu Kickstart ile kurmaya karar verdiniz. Ardından oturdunuz NFS veya başka bir yöntemle Kickstart konfigurasyon dosyasını paylaşayım dediniz. Güzel. Hatta kurulum için gerekli repository'i de HTTP olarak paylaştınız, hatta ks.cfg içine yazdınız. Şahane. Sonra da aday sunucuyu boot ettiniz ve 'git NFS kickstart sunucusundan oku bu bilgileri ! ' dediniz.

Sonra ne oldu ?

Failed to open /tmp/ks.cfg hatası vererek kurulum durdu aşağıdaki gibi.

Unutmak kötü ama deneyim işte. Doğru kullanmayı bilirsen daha olgunlaştırıyor.

# chmod 644 /kickstart/ks.cfg

...devam

Link : IPtables hakkında faydalı makale.

IPtables hakkında bulduğum en faydalı blog makalelerinden biri. Yazarının emeğine sağlık .

http://alper.web.tr/2009/05/25/iptables-6-matches/

Link : LVM yönetmek

LVM yönetimi hakkında gördüğüm en başarılı ve açıklayıcı yazı.

http://manchev.org/2011/11/introduction-to-logical-volume-manager/

Link : Puppet IT Automation demo

Puppet Enterprise IT automation software hakkında harika bir tanıtım demosu.

http://www.youtube.com/watch?feature=player_embedded&v=tPNlvRbY0pA

Splunk 6 yayınlandı

Splunk severler için güzel bir gün. Splunk 6 yayınlandı.

Bu sürümdeki yenilikler hakkında bilgi almak için :
http://www.splunk.com/view/whats-new/SP-CAAAFD2

Aşırı büyümüş Zabbix / MySQL veritabanını küçültmek

Zabbix, açık kaynak izleme yazılımları içinde belirli bir yere sahip. Kullanımı da huyuna suyuna alışınca zor değil. Ama gelgelelim, tetik / monitor / uygulama gibi veri üreten öğelerini doğru ayarlamazsanız, MySQL veya PostgreSQL farketmeksizin veritabanını fena halde şişiriyor.

Benim de başıma geldi. Test ortamımdaki veritabanı bir şekilde büyüdü ve sunucuyu ya genişletme, ya da Zabbix'i yeniden kurma, ayarlarımı vs.yi feda etme noktasına getirdi. Zaman dar, test edecek çok şey var, hay bin kunduz durumu. Tabi başka ara seçenekler de var ama benden şu an bunu beklemek insafsızlık olurdu. Ama bunun bir Prod sistemi olduğunu varsaysak, bu veritabanının büyümesinin bir yerde başağrısı yapacağı muhakkak. O nedenle sanki prodmuş gibi sebep ve sonuçlarını incelemek lazım. En azından buna zamanım var.

Öncelikle yapılması gereken şablonların içindeki öğeleri iyi ayarlamak. Ekran görüntüsünde de görüleceği üzere "update interval" ve "keep history" değerlerini elden geçirmek ve bunu her öğe için yapmak gerekli. Yol yakınken , işin başında yaparsanız ne ala. Yoksa benim gibi 90 ve üzeri öğeyi tek tek güncellemeniz gerekebilir. (Bunun toptan yapılması ile ilgili de çalışmalar var ama benim ilgi alanım dışında.)

Bu bittikten sonra zabbix hizmetini kapatıp açtım. Yaklaşık 1 milyon kayıt temizlendi sistemde. Ama mysql veritabanı içindeki alanlar temizlenmedi. Çok fazla anlamam mysql'den ve optimizing işleminin de zabbix tablolarında uygulanamadığını ve dolayısıyla kazanılan alanın fiziksel olarak DB'nin küçültülmesi şeklinde geri dönmediğini söyleyebilirim.

"Table does not support optimize, doing recreate + analyze instead |"

Ardından da aşağıdaki linkteki arkadaşımızın son derece başarılı makalesini aynen uygulayarak zabbix veritabanını dump edip, silip, ardından geri yükledim. Kendisinin eline sağlık bu makale için.

http://www.syslogs.org/mysql-innodb-database-ebatinin-kucultulmesi-shrink-ibdata1/

Bu işlem sonucunda yaklaşık olarak MySQL veritabanını %35 oranında küçültmeyi başardım.

what is the location of the directory which contains your xorg modules ?

Splunk testlerine bir de Solaris sunucu katayım dedim. Ben genelde X Window veya başka bir GUI kullanmam Solaris sunucularımda ve tercih de etmem. Ama hızlı çalışmak zorundaydım ve Solaris 10 9/10 sunucumu ayarlarına özenmeden, grafik modda kurdum.

Sonra da üzerine VMware tools yükleyeyim dedim. Ama gördük ki, bir sıkıntı var. Kurulumun ortasında aşağıdaki soruyu soruyor ve ben cevabını bilmiyorum :

- what is the location of the directory which contains your xorg modules ?

Aradık, taradık, bulduk. Cevap : /usr/X11/lib/modules/

Netapp storage simulator sürekli çöküyor.

Bir şekilde bir Netapp ONTAP eğitimine gitmek hasıl oldu. Eğitim güzel, eğitmen ilgili ve bilgili (Datacore). Tabi öğrenilenleri akşam tekrarlamak lazım.

Netapp storage simulator'u indirdim taşınabilir bilgisayarıma. Tar dosyasının içinden VMware formatında bir sanal makina çıktı. Hafiften sitem. Neden OVF veya VirtualBox formatı yok ki ?

Neyse, çok uzatmadan bu sitemi , makineyi açtım, VMware player indirdim ve kurdum. Başlat ! Ama o ne ?
Açılış sonrası sürekli ben tam göremeden bir mesaj verip kapanıp açılıyor.

Çözüm :

CTRL+C ile boot menu'ye girip, 4.maddeden diskleri yeniden sıfırlama seçeneğini seçmek ve kişiye özel yeni bir kurulum yapmak lazım. Sonra sıkıntısız çalışıyor.

Splunk / OSSEC entegrasyonu.

OSSEC her zaman çok sevdiğim bir HIDS yazılımı oldu. UNIX - Linux sistem gruplarında hep tercihimi OSSEC'ten yana kullandım. Şu an yaptığım Splunk testlerinde de Splunk- OSSEC entegrasyonunu deniyorum. Okuduğum tüm belgeler entegrasyonun çok basit ve sorunsuz olduğunu söylüyordu ama beklendiği üzere, tüm Splunk macerasında olduğu üzere burada da bir arıza elbette ki çıktı.

Senaryomuz şu ; geçen haftadan beri kullandığım Splunk üzerine OSSEC kurarak, test ortamımdaki OSSEC sunucumuzu buraya taşımış oldum. Ardından da Splunk App for OSSEC kuruldu. Ardından çalışması, logları okuması, bir şeyler göstermesi beklendi. Ama olmadı tabi ki.

Biraz uğraştırdı. Neler okumadım ki, kimlerin bloglarına girmedim ki. Garip olan, herkesin son derece basit bir şekilde kurmuş ve çalıştırmış olmasıydı. Zaten bundan da fena halde şüphelendim.

Sebebi yaklaşık 10 saat sonra şuradan çıktı. Ben bir düzen ve tertip hastasıyım ya, tüm kurulumlarımı standart klasörlerime yaparım. OSSEC'i de /opt/ossec altına kurmuştum. Oysa ki Splunk App for OSSEC, uygulamayı /var/ossec altında istiyor.

Kurulumu yeniden ve bu klasöre (/var/ossec) yapınca herşey düzeldi. Kurulum çok basit olduğu için burada anlatmıyorum.

Not : Açıkçası Splunk TA ayarlarında bu isteğin hard-coded mı olduğunu yoksa parametrik mi olduğunu araştırmadım. Bir sonraki sefere işallah.

UNIX sunucularından ajan ile Splunk'a veri gönderme

Splunk'ı giderek daha fazla seviyorum demem boşuna değil. Ekosistem içindeki uygulamalar güzel iş çıkartıyor. Oldukça yüksek sayıda ek uygulama ile, bililnen bir çok sistem ve cihazı destekler hale gelmiş, giderek de bu desteği arttıran bir ürün.

Unix sunucularından Splunk'a yalnızca syslog değil, sistem bilgisi ve diğer önemli dosya ve aktivitelere dair bilgileri nasıl gönderirim sorusunun cevabı aşağıda.

- Universal forwarder indirilecek.
http://www.splunk.com/download/universalforwarder

- Ubuntu 12.04 sunucusuna kurulur.
# dpkg -i splunk-forwarder.deb

Bu pakete ek olarak Splunk add for Unix / Linux da kurulmalı.

http://apps.splunk.com/app/833# (paket /opt/splunkforwarder klasörüne indirilecek).
# cd /opt/splunkforwarder
# tar xvfz Splunk_TA_nix-4.7.0-156739.tgz
# chown -R splunk:splunk Splunk_TA_nix
# mkdir /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local
# cp /opt/splunkforwarder/etc/apps/Splunk_TA_nix/default/input.conf /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local
# vi /opt/splunkforwarder/etc/apps/Splunk_TA_nix/local/input.conf
       (aktif duruma getirmek istediğimiz tüm seçeneklerde 1 > 0 yapıyoruz.
# chown -R splunk:splunk /opt/splunkforwarder/etc/apps/Splunk_TA_nix

Agentı, splunk sunucusuyla konuşacak şekilde düzenliyoruz.

- Splunk sunucusunda 9997 portundan dinleme yapacak bir "Receiver" oluşturuyoruz.
# /opt/splunkforwarder/bin/splunk add forward-server 192.2.1.10:9997
          kullanıcı adı (değiştirmedikçe) admin:changeme
# /opt/splunkforwarder/bin/splunk start (dikkat root kullanıcısı ile başlattık. Dileyen bu adımda splunk'a geçebilir)

Bu konuyla ilgili karmaşık ama sabırla okununca bilgi veren belge :
http://docs.splunk.com/Documentation/Splunk/latest/Deploy/Deployanixdfmanually

Sonuç :

VMware ESX'ten Splunk'a log yönlendirmek.

VMware ESX sunucularından Splunk'a nasıl log yönlendirilebileceğine dair bir çalışma yaptım. Yordam aşağıdaki gibidir.

 yordamla, ESX'ten sysloga düşen tüm mesajlar ve host hareketleri Splunk'a yönlendirilmektedir.

(ESX sunucusunda)

# vi /etc/syslog.conf
            *.*             @splunksunucusu.domain.local
# esxcfg-firewall -o 514,udp,out,syslog && esxcfg-firewall -l
# vi /etc/vmware/hostd/config.xml
                 
                outputToConsole>true
                 
olarak değiştirilmeli ve kayıt edilmelidir.

# service mgmt-vmware restart

Mutluyuz, basit ve temiz iş. Bu arada Splunk'tan çok memnunum, ona dair izlenimlerimi daha sonra yazmayı planlıyorum.

Splunk universal forwarder agent, Windows 2008 + Active Directory yükleme problemi

Splunk 5.x sürümünün Universal Forwarder agentını denemek üzere test ortamımdaki Windows 2008 DC sunucuma yüklemek istedim.

Yordamı aynen uyguladım ve kullandığım servisi hesabı ile ilgili sıkıntım yoktu. Ayrıca servis hesabı "Domain Admin' seviyesinde yetkiliydi. Ancak sürekli aşağıdaki hata mesajını alıp kurulumu geri çekmek zorunda kaldım.

"splunk installer was unable to start splunk services exit code '4'"

Çözüm manasız, garip ve basit.

servis hesabını "domain\account" yerine "account@domain" şeklinde yazınca düzeldi.