1: 最近由于数据量变大，增加了新的indexer server, 参考：
Configure peer nodes with server.conf - Splunk Documentation
Step1:
新的splunk instance 装好后：修改server.conf:
[clustering]
master_uri = https://10.11.22.33:8089
mode = slave
pass4SymmKey = abcdxxxxxx
[replication_port://8080]
注意： 上面的mode 是 slave.
Step2:
配好上面的cluster 密码后， restart peer, 从/opt/splunk/var/log/splunk/splunkd.log 里面看到已经和CM server 连上了：
注意： 要提前把CM -> peer (indexer server ) : 8080 的FW 端口打开才可以，刚踩过的坑，另外当splunk indexer instance 启动好以后，8080 port 才可以从CM - > peer 看到是通的。
Step3:
上面的indexer 加入到CM 上后，有一个重要的一步： 就是data rebalance: 如下图：
Step4:
去DS server 上去配置 mills server( forward server) 的outputs.conf 文件，以便以后有文体都能发到新的indexer 上。
一般放在: /opt/splunk/etc/development-server/app_name/default/output.conf
修改后，在DS server 上: splunk reload deploy-server.
Step5: 去monitor server console上把新的indexer 加上去，然后 可以找一个有新数据进来的index:
?
?