سناریویی که من باهاش مواجه شدم اینطوری بود 👇
فرض کنید برای Splunk چندین Indexer داریم تا حجم بالای لاگ‌ها رو بینشون تقسیم کنیم.
یک Search Head هم مشخص کردیم تا وقتی جستجو انجام می‌دیم، از بین ایندکسرها داده‌ها رو بخونه و نتیجه نهایی رو نمایش بده.
اما این وسط یه نکته خیلی مهم وجود داره:
اگر زمان بین ایندکسرها که هر کدوم روی یک سرور مجزا هستن هماهنگ (Sync) نباشه، چه اتفاقی می‌افته؟
🔹 ترتیب زمانی لاگ‌ها به‌هم می‌ریزه.
🔹 ممکنه به‌دلیل اختلاف زمان، صف‌های پردازشی و تأخیر در ایندکس‌شدن داده‌ها ایجاد بشه.
✅ راه‌حل:
منطقی‌ترین کار اینه که همه ایندکسرها رو با یک NTP Server هماهنگ کنیم.
برای این کار روی هر سرور (با دسترسی Administrator) دستورهای زیر رو به‌ترتیب اجرا کنید:
w32tm /config /manualpeerlist:"NTP_SERVER_IP" /syncfromflags:manual /reliable:YES /update
net stop w32time
net start w32time
w32tm /resync
بعد از حدود ۵۰ ثانیه، برای اطمینان از همگام‌سازی زمان، وضعیت رو بررسی کنید:
w32tm /query /status
🔴 در خروجی باید IP مربوط به NTP Server رو مشاهده کنید.
با همین تنظیم ساده، از بروز خطاهای مربوط به اختلاف زمان بین ایندکسرها در Splunk جلوگیری می‌کنید.
@Socroot