Pfsense no заполняет данные в Splunk

Question

У меня проблема, когда я отправляю логи из pfsense в spunk.

Текущая конфигурация:

Pfsense 192.168.1.128 Splunk 192.168.1.129

(Есть 2 разные виртуальные машины)

Таким образом, конфигурация Pfsense отправляет удаленный логин на IP-адрес spunk в порту 514.

В Splunk я добавил сервис UDP 514:

Input Type
UDP Port
Port Number
514
Source name override
N/A
Restrict to Host
N/A
Source Type
syslog
App Context
search
Host
(IP address of the remote server)
Index
default

Если я делаю tcpdump в Spunk с:

tcpdump -anni ens33 host 192.168.1.128 and port 514

Я вижу системный журнал от pfsense

14:54:30.489541 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 279
14:54:30.798702 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 461
14:54:31.578176 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 290
14:54:32.575437 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 290
14:54:33.801049 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 461
14:54:33.803128 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 290
14:54:34.579268 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 290
14:54:35.578575 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 290
14:54:36.465434 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG local5.info, length: 294
14:54:36.931271 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG ntp.info, length: 69
14:54:36.931530 IP 192.168.1.128.514 > 192.168.1.129.514: SYSLOG ntp.info, length: 69

Но если я проверю в Screach и отчетности, я могу увидеть любую информацию в сводке данных.

Не могли бы вы дать мне немного света в этом

Спасибо

Answer 1

Вы ищете правильный индекс?

Если вы запустите это, он выполнит быстрый поиск метаданных, чтобы увидеть, находится ли он в Splunk. Отрегулируйте ваш временной диапазон по мере необходимости

| metasearch index=*