使用Fluent Bit推送本地文件至Splunk时遇EOF及303错误求助

问题核心分析 #

从你的配置和报错来看，问题根源集中在认证参数冗余、TLS证书信任缺失以及HEC端点路径不明确三点：

• unexpected EOF：开启TLS验证时，Fluent Bit无法信任Splunk的SSL证书，导致连接中途中断；
• 303状态码：请求被服务器重定向，通常是因为请求参数无效或端点路径不匹配。

分步修正方案 #

1. 移除冗余的HTTP认证参数

Splunk HTTP Event Collector（HEC）仅通过Splunk_Token完成身份认证，你配置中的http_user和http_passwd是Splunk REST API的专用参数，添加到HEC请求中会导致格式异常，直接删除这两行配置。

2. 配置TLS证书信任（解决unexpected EOF）

当TLS.Verify On时，Fluent Bit需要确认Splunk的SSL证书合法：

• 从Splunk服务器导出CA证书（自签名或企业CA颁发的证书均可）；
• 在Fluent Bit配置中添加TLS.CA_File指定证书路径，示例：

  TLS.CA_File C:\path\to\splunk_ca.crt
  

测试环境可临时用TLS.Verify Off绕过验证，但生产环境必须配置证书信任以保证安全性。

3. 显式指定HEC端点路径（解决303重定向）

默认情况下Fluent Bit使用/services/collector作为HEC端点，但如果Splunk配置了反向代理或自定义路径，需显式设置URI参数：

URI /services/collector

确认该路径与Splunk HEC的实际配置一致，避免触发重定向。

修正后的完整配置

[INPUT]
    Name tail
    Tag taglog
    Path C:\*.json

[OUTPUT]
    Name splunk
    Match *
    Host localhost
    Port 443
    Splunk_Token <你的HTTP Event Collector令牌>
    TLS On
    TLS.Verify On
    TLS.CA_File C:\splunk\ca_cert.crt
    URI /services/collector
    splunk_send_raw On

额外验证点 #

• 确认Splunk HEC已启用，令牌权限正确，且允许Fluent Bit所在IP的访问；
• 检查Splunk的HEC设置中是否开启SSL，端口是否为443；
• 启动Fluent Bit时添加-v参数查看详细日志，进一步定位潜在问题。

内容的提问来源于stack exchange，提问作者xxestter