[系统运维]Splunk 接入 Windows的DNS日志

• windows 的dns日志目前在 wins 08之前的版本接入会出错，我自己实际部署过 wins2012是成功的

建议使用最新的 micorsoft add-on （当前版本8.0以上）去接入dhcp，下载地址https://splunkbase.splunk.com/app/742/ 。 然后将此包解压放到windows服务器上。

1. 先在windows服务器安装 splunk forwarder。安装过程如下
   
   输入用户名密码，这个不重要。然后deployment server这里不填
   
   indexer这里输入 splunk 服务器的地址
   
2. 将刚才解压完的add-on文件夹复制到 C:\Program Files\SplunkUniversalForwarder\etc\apps
   
3. 进入该文件夹 default目录 ，用写字板打开 inputs.conf
   
   找到dns这一节
   
   修改为

[MonitorNoHandle://C:\Windows\System32\Dns\dns.log]
sourcetype = dns
disabled = 0
index = dnslog

然后在C:\Program Files\SplunkUniversalForwarder\etc\system\local 下创建props.conf 文件

CHARSET = GB2312
NO_BINARY_CHECK = true

4. 接下来在 C:\Program Files\SplunkUniversalForwarder\bin 目录下找到文件 SplunkMonitorNoHandleDrv.inf ，右键点击选择安装
   
   5.重启splunk 服务
   
5. 测试，如果 C:\Program Files\SplunkUniversalForwarder\var\log\splunk\splunkd.log 文件如果出现以下 Error，则不会采集成功dns的日志
   
6. 假如没有的话，回到splunk上，搜索 index=dnslog 应该就可以看到dns的日志，并且有自动解析字段