Splunk 日志接收口
Splunk 索引器接收转发器数据的默认端口：通用转发器把本地日志推送到索引器的 9997（splunkd 自有接收协议），索引集群节点之间也用它接收。它是日志链路的入口，只应对转发器所在网段开放。
基本信息
| 服务 | Splunk receiving（splunkd） |
|---|---|
| 协议 | TCP（Splunk 接收协议，可启用 SSL） |
| 默认端口 | 9997（管理口 8089） |
| 客户端配置 | splunk add forward-server |
| 暴露面 | 仅日志网段 |
典型使用场景
- 服务器与应用日志集中入库，统一检索
- 容器与中间件日志经转发器汇聚
- 多站点集中索引：多个转发器指向同一索引器
- 排障：日志没进搜索界面时先验证 9997 链路
- 容量规划：按事件量评估索引器与磁盘
链路核对
链路核对
$SPLUNK_HOME/bin/splunk add forward-server splunk01:9997
$SPLUNK_HOME/bin/splunk list forward-server
nc -zv splunk01 9997 # 协议层不响应文本，连通即可
ss -lntp | grep -E '9997|8089'排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 接收开关 | 索引器上的接收配置 | 未启用接收：转发器一直重试，服务端看不出错 |
| 转发状态 | splunk list forward-server | 显示 connecting：网络策略或地址配置错误 |
| SSL | 接收与转发两端配置对照 | 一端开一端关：转发器持续重连失败 |
| 数据落库 | 按索引搜索最近事件 | 链路正常却搜不到：索引或授权配置问题 |
转发器与索引器之间会保持长连接并做能力协商，端口连通但两端配置不匹配时表现为反复重连而不是明确报错；排查要同时看转发器状态与索引器日志，只看一侧容易误判成网络问题。
明文传输的代价
日志里常混着账号、令牌、内部地址与业务数据，明文传输意味着同网段可直接读取；链路跨机房时风险更高。Splunk 支持在接收与转发两侧启用 SSL，配置一次长期受益，但两端必须同时改，否则数据链路直接中断。
接收口如果不做来源限制，任何主机都能注入伪造日志，污染告警规则与审计证据；排查真实安全事件时先被假数据误导，代价远高于一条防火墙规则。
9997 不做来源限制：任意主机可注入伪造日志，污染告警与事后审计证据。