使用Splunk通用转发器向Cribl发送日志时出现无效头部签名错误

问题根源 #

你遇到的Invalid header signature错误，核心原因是Splunk Universal Forwarder（UF）的配置仍在尝试与Cribl Stream进行协议协商，导致发送了Cribl Splunk TCP源无法解析的数据包格式。尽管你设置了sendCookedData = false，但negotiateProtocolLevel = 0会让UF主动发起协议协商，而Cribl对该协商流程的兼容性不如Splunk Enterprise。

修复步骤 #

1. 调整Splunk UF的输出配置 #

修改UF的outputs.conf，确保彻底禁用协议协商和cooked数据发送：

[tcpout]
disabled = false
defaultGroup = cribl

[tcpout:cribl]
server = in.xxxx-xxxxxxx-xxxxx-xxxxxx-xxxxxxx.cribl.cloud:9997
sendCookedData = false
negotiateProtocolLevel = -1
useACK = false

• negotiateProtocolLevel = -1：彻底关闭协议协商，强制UF以原始文本格式发送日志
• useACK = false：禁用ACK确认机制，避免Cribl不支持该机制导致的额外异常

2. 验证Cribl Stream的Splunk TCP源配置 #

• 确认Cribl端的源类型为Splunk TCP，端口9997已正确配置并启动
• 检查源设置中的Enable Splunk Protocol选项是否勾选（默认启用，若未勾选需开启）
• 若上述配置仍无效，可尝试将源类型切换为Raw TCP——当sendCookedData=false时，UF发送的是纯原始日志，Raw TCP源可直接接收

3. 生效配置并验证 #

• 重启Splunk UF服务：splunk restart
• 查看UF日志$SPLUNK_HOME/var/log/splunk/splunkd.log，确认无连接或发送错误
• 进入Cribl Stream的源监控界面，检查数据是否正常流入

内容的提问来源于stack exchange，提问作者Akshaya