이슈 현상

Splunk Universal Forwarder 10 버전 설치 시 8089 포트가 Listening 되지 않음

• UF 설치 시, 당연하게 netstat -nlp 실행 시 , LISTEN 될거라고 판단
• 하지만 10버전 설치 후 8089가 뜨지 않음을 확인

이슈 원인

• Splunk Universal Forwarder 9.X 버전 부터 8089 포트가 자동으로 활성화 되지 않음

• 공식 문서에 따르면 보안상의 이유로 8089 포트를 제한하게됨

• 원문 (Splunk Enterprise 9 버전 릴리즈 노트 - 링크)

  Universal forwarder: limit access to port 8089 by defaul

  The default setting for mgmtHostPort in web.conf is mgmtHostPort = localhost, with the localhost =127.0.0.1 for ipv4 and ::1 for ipv6. This means that the external servers cannot access the management port and that REST API calls to the universal forwarder from external servers will fail. You can disable this by setting disableDefaultPort=true in server.conf.

• 요약

  • 8089 포트에 대한 외부 접근이 기본 값으로 막혀있음
  • 활성화 시키려면 server.conf에서 disableDefaultPort=true로 바꿔야함

  ---

해결 방법

• 정상 동작이라서 따로 처리 할 것 없음
• 다만, 원하는 경우 아래와 같이 수정 하여 진행

8089 관리포트 활성화 방법

• system의 server.conf 수정

vi $SPLUNK_HOME/etc/system/local/server.conf

• 아래와 같이 수정

[default]
disableDefaultPort=true

• 재시작

$SPLUNK_HOME/bin/splunk restart