Splunk CloudでフォワーダーをIPアドレスを使ってインデクサーに接続する方法

Applicability

Description

オンプレミスからSplunk Cloudプラットフォームへデータを送るには、フォワーダーを使用します。Splunkフォワーダーは、データソースからSplunk Cloudプラットフォームのデプロイメントにデータを送信し、インデックス化して検索可能にします。フォワーダーは軽量なプロセスであり、通常はデータが発生するマシン上で動作します。

フォワーダーには、Universal Forwarders（UF）とHeavy Forwarders（HF）の2種類があります。Splunk Cloudプラットフォームにデータを送信する際は、Splunk Cloudプラットフォームのインスタンス固有の認証情報を含むアプリ（ユニバーサルフォワーダー認証パッケージ、cred package）をダウンロードする必要があります。このcred packageをUF、HF、またはデプロイメントサーバーにインストールすることで、Splunk Cloudプラットフォームに接続できます。

cred packageはデフォルトで、送信先サーバーリストをFQDN形式で持っています。FQDNを使うことがベストプラクティスとされています。しかし、稀にユーザーがFQDNを使えず、代わりにインデクサーのIPアドレスやロードバランサー（LB）がある場合はLBのIPアドレスを使ってSplunk Cloudにデータを送信する必要があるケースがあります。

ただし、UF/HFがIPアドレスを使ってSplunk Cloudのインデクサーに接続しようとすると、SSL証明書の検証エラーが発生することがあります。サーバーリストをFQDN（inputsX.stackname.splunkcloud.com）からIPアドレスに変更すると、SSL証明書の検証エラーが起こります。

Investigation

クラウドスタックから提供されるcred packageには、outputs.confファイルに以下のようにFQDNのサーバー情報が含まれています。

etc/apps/100_stackname_splunkcloud/default/outputs.conf [tcpout:splunkcloud_20211001_9aaaxx4b04216cd9axxxxxxx]
etc/apps/100_stackname_splunkcloud/default/outputs.conf server = inputs1.stackname.splunkcloud.com:9997, inputs2.stackname.splunkcloud.com:9997, ..., inputs15.stackname.splunkcloud.com:9997
etc/apps/100_stackname_splunkcloud/default/outputs.conf sslCommonNameToCheck = *.stackname.splunkcloud.com
etc/apps/100_stackname_splunkcloud/default/outputs.conf sslVerifyServerCert = true
etc/apps/100_stackname_splunkcloud/default/outputs.conf sslVerifyServerName = true
etc/apps/100_stackname_splunkcloud/default/outputs.conf useClientSSLCompression = true

IPアドレスを使うには、インデクサーのパブリックIPまたはロードバランサーのパブリックIPを取得し、以下のように $SPLUNK_HOME/etc/apps/100_stackname_splunkcloud/local/outputs.conf を更新します。

etc/apps/100_stackname_splunkcloud/local/outputs.conf [tcpout:splunkcloud_20211001_9aaaxx4b04216cd9axxxxxxx]
etc/apps/100_stackname_splunkcloud/local/outputs.conf server = xx.xx.xx.xx:9997, yy.yy.yy.yy:9997, zz.zz.zz.zz:9997

しかし、IPアドレスに置き換えるとSSLハンドシェイク時に以下のようなSSL検証エラーが発生することがあります。

12-27-2023 17:59:49.663 +0900 ERROR TcpOutputFd [553720 TcpOutEloop] - Connection to host=xx.xx.xx.xx:9997 failed. sock_error = 0. SSL Error = error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed - please check the output of the `openssl verify` command for the certificates involved; note that if certificate verification is enabled (requireClientCert or sslVerifyServerCert set to "true"), the CA certificate and the server certificate should not have the same Common Name.12-27-2023 17:59:49.660 +0900 WARN SSLCommon [553720 TcpOutEloop] - Received fatal SSL3 alert. ssl_state='error', alert_description='bad certificate'.12-27-2023 17:59:49.657 +0900 ERROR X509Verify [553720 TcpOutEloop] - Server X509 certificate (CN=*.stackname.splunkcloud.com ) failed validation; error=64, reason="IP address mismatch"

Resolution

UF/HFがIPアドレスを使ってSSL接続を成功させるには、$SPLUNK_HOME/etc/apps/100_stackname_splunkcloud/local/outputs.conf のサーバーリストをIPアドレスに更新するだけでなく、sslVerifyServerName を無効化する必要があります。

具体的には、以下のように設定を追加または編集してください。sslVerifyServerName = false

etc/apps/100_stackname_splunkcloud/local/outputs.conf [tcpout:splunkcloud_20211001_9aaaxx4b04216cd9axxxxxxx]
etc/apps/100_stackname_splunkcloud/local/outputs.conf server = xx.xx.xx.xx:9997, yy.yy.yy.yy:9997, zz.zz.zz.zz:9997
etc/apps/100_stackname_splunkcloud/local/outputs.conf sslVerifyServerName = false

設定変更後は、UF/HF上でsplunkdを再起動してください。

Related Links

Use forwarders to get data into Splunk Cloud Platform