Arquitecturas Splunk: Capitulo 1 - Introduccion

Voy a crear una serie artículos explicando los diferentes tipos de arquitecturas de Splunk y sus componentes.

De forma rápida, los principales componentes de Splunk:

• Search Head (SH): Es el encargado de realizar las búsquedas sobre los datos, ejecutar alarmas, contiene cuadros de mandos, login de usuarios. Suele demandar muchas CPUs
• Indexador (IDX): Es donde se almacena toda la información, y donde nuestros SH irán a buscarla. Aquí debemos disponer de almacenamiento. Lo normal es disponer de un almacenamiento lo mas rápido posible para datos recientes, y otro "normal" para los datos históricos.
• Forwarder: El encargado de recoger y envinar la información a nuestro IDX, en estos dos artículos ya hable de ellos Splunk Forwarder y Forwarder VS Heavy Forwarder

Ya veremos más adelante que pueden existir otros componentes.

Todos estos componentes, se pueden agrupar o distribuir de la siguiente forma:

• Standalone: Este suele ser en muchos casos el punto de partida, aquí tenemos todos nuestros componentes o roles de Splunk en una misma máquina, se suele usar para un piloto o un entorno pequeño.
• Arquitectura distribuida: En este tipo de entornos podemos tener nuestros roles separados en distintas instancias o en diferentes maquinas, de esta forma podemos repartir la carga de trabajo. Pero ojo, no significa alta disponibilidad. Por ejemplo, podríamos tener la información de RRHH en un indexador y la de IT en otro.
• Cluster: En esta arquitectura tendremos separados todos nuestros componentes de Splunk en diferentes instancias o maquinas, pero a diferencia del anterior, sí que tendremos alta disponibilidad en nuestras capas (indexación y búsqueda)

Estos tres tipos de arquitectura se pueden combinar entre sí, por ejemplo, podría tener un cluster de indexadores, donde almaceno toda la información de la compañía con alta disponibilidad, pero podría tener un SH para los cuadros de mando, donde entrarían la mayoría de mis usuarios y además realizasen sus búsquedas y otro para las alertas, pero estos últimos sin alta disponibilidad.