Журнал Splunk отображается как шестнадцатеричный при использовании обратного входа SSLSocketAppender - PullRequest
Новая
       6

Журнал Splunk отображается как шестнадцатеричный при использовании обратного входа SSLSocketAppender

0 голосов
/ 02 марта 2019

Я пытаюсь использовать Splunk для сбора журналов для моего приложения.Я настроил ввод данных TCP на порт 6514 (с включенным протоколом SSL на этом порту).Из моего Java-приложения я могу подключиться к порту и отправлять логи.Однако, когда я проверяю эти журналы на веб-сайте Splunk, он отображается в шестнадцатеричном формате.

КОНФИГУРАЦИЯ НАЗАД 

<configuration debug="true">

 <appender name="console" class="ch.qos.logback.core.ConsoleAppender">
    <encoder>
        <pattern>%date{ISO8601} [%thread] [%cyan(%C.%M\(\))] [%highlight(%level)] : %msg - %ex{short} %n</pattern>
    </encoder>
</appender>

<appender name="sslsocket" class="ch.qos.logback.classic.net.SSLSocketAppender">
    <remoteHost>127.0.0.1</remoteHost>
    <port>6514</port>
    <queueSize>20</queueSize>
    <reconnectionDelay>20</reconnectionDelay>
    <ssl>
        <trustStore>
            <location>file:///path/to/truststore.jks</location>
            <password>truststorepassword</password>
        </trustStore>
    </ssl>
</appender>

<logger name="splunk.secure.logger" additivity="false" level="INFO">
    <appender-ref ref="sslsocket"/>
</logger>

<root level="DEBUG">
    <appender-ref ref="console" />
</root>
</configuration>

ИСПОЛЬЗОВАНИЕ

открытый класс Starter {

private final static org.slf4j.Logger logger = LoggerFactory.getLogger("splunk.secure.logger");


public static void main(String[] args) {
    logger.info("Testing SSL Socket Appender Log");
}

}

LOG BACK ОТЛАДКА ВЫХОД НА КОНСОЛЬ 

11:00:04,701 |-INFO in ch.qos.logback.core.joran.action.AppenderAction - 
About to instantiate appender of type 
[ch.qos.logback.classic.net.SSLSocketAppender]
11:00:04,720 |-INFO in ch.qos.logback.core.joran.action.AppenderAction - 
Naming appender as [sslsocket]
11:00:04,763 |-INFO in 
ch.qos.logback.core.joran.action.NestedComplexPropertyIA - Assuming default type 
[ch.qos.logback.core.net.ssl.SSLConfiguration] for [ssl] property
11:00:04,776 |-INFO in ch.qos.logback.core.joran.action.NestedComplexPropertyIA - Assuming default type [ch.qos.logback.core.net.ssl.KeyStoreFactoryBean] for 
[trustStore] property
11:00:06,035 |-INFO in ch.qos.logback.classic.net.SSLSocketAppender[sslsocket] - SSL protocol 'SSL' provider 'SunJSSE version 1.8'
11:00:06,045 |-INFO in ch.qos.logback.classic.net.SSLSocketAppender[sslsocket] - trust store of type 'JKS' provider 'SUN version 1.8': file:///path/to/truststore.jks
11:00:06,046 |-INFO in ch.qos.logback.classic.net.SSLSocketAppender[sslsocket] - trust manager algorithm 'PKIX' provider 'SunJSSE version 1.8'
11:00:06,063 |-INFO in ch.qos.logback.classic.net.SSLSocketAppender[sslsocket] - secure random algorithm 'SHA1PRNG' provider 'SUN version 1.8'
11:00:06,556 |-INFO in ch.qos.logback.classic.joran.action.LoggerAction - Setting level of logger [splunk.secure.logger] to INFO
11:00:06,557 |-INFO in ch.qos.logback.classic.joran.action.LoggerAction - Setting additivity of logger [splunk.secure.logger] to false
11:00:06,564 |-INFO in ch.qos.logback.core.joran.action.AppenderRefAction - 
Attaching appender named [sslsocket] to Logger[splunk.secure.logger]

ЧТО ПОЛУЧИЛО SPLUNK WEB 

Time    Event

3/2/19 9: 48: 45.000 AM
\ xAC \ xED \ x00 host = 127.0.0.1 source = tcp: 6514 sourcetype = logback

В итоге

Из вышесказанного мне кажется, что это не проблема подключения, так как Splunk прослушивает порт 6514 и может захватывать вход, НО захваченный вход отображается как HEX ине нормально.

Когда я использую обычный com.splunk.logging.TcpAppender, мои журналы корректно отображаются на splunk.

  1. Есть ли другие конфигурации, которые я мог пропустить
  2. Возможно ли включить SSL при использовании com.splunk.logging.TcpAppender
  3. Есть ли выделенный приложение Splunk SSL?der, который можно использовать вместо ch.qos.logback.classic.net.SSLSocketAppender
  4. Любые другие предложения приветствуются.

1 Ответ

0 голосов
/ 03 марта 2019

Мне пришлось переключиться на log4j, чтобы решить эту проблему.При приведенной ниже конфигурации в log4j журналы корректно отображались в разделенной сети. 

<?xml version="1.0" encoding="UTF-8"?>
<Configuration status="info" name="example" packages="">
<Appenders>
    <Socket name="ssl" host="localhost" port="6514">
        <PatternLayout charset="UTF-8">
            <pattern>%date{ISO8601} [%thread] [%C.%M\(\) - Line %L] [%level] : %msg %ex{short} %n</pattern>
        </PatternLayout>
        <JsonLayout properties="true"/>
        <SSL>
            <TrustStore location="/path/to/keystore.jks" password="password"/>
        </SSL>
    </Socket>
    </Appenders>
    <Loggers>
    <Root level="INFO">
    </Root>
    <Logger name="splunk.secure.logger" level="info">
        <AppenderRef ref="ssl"/>
    </Logger>
    </Loggers>
</Configuration>
...