De Universal Forwarder is al ruim tien jaar de standaardcollector voor Splunk. Klein, saai en betrouwbaar, en er zijn teams die er nooit over hebben hoeven nadenken. Cribl Edge is nieuwer en doet iets wat de forwarder nooit heeft geprobeerd: data verwerken op de host, met dezelfde pipelines en routes die je in Cribl Stream gebruikt. Of dat een voordeel is, hangt af van hoe je vloot eruitziet en wie die beheert.
Wat hetzelfde blijft
Beide lezen bestanden, beide sturen naar Splunk via het S2S-protocol, beide worden centraal beheerd, beide draaien als service op Windows en Linux. Is je enige eis "haal de logregels van de machine af en zet ze in een index", dan kunnen beide dat, en de forwarder doet het met minder configuratie.
Waar Cribl Edge het beeld verandert
- Reductie aan de bron. Debug-ruis weggooien, uitgebreide health checks bemonsteren, velden strippen waar je nooit op zoekt, voordat iets het netwerk oversteekt of meetelt voor een licentie. Op drukke hosts betaalt dit alleen al de overstap terug.
- Meerdere bestemmingen vanuit één collector. Security-events naar Splunk, metrics naar een time-series-store en alles naar goedkope objectopslag voor replay, zonder tweede agent.
- Zicht op de vloot. Edge laat in real time zien welke hosts wat versturen, vanuit één console. De forwarder geeft je dat alleen indirect, via de deployment server en de metrics die hij uitstuurt.
- Gestructureerde data netjes afgehandeld. JSON, metrics en Kubernetes-logs zijn volwaardige inputs, niet iets wat er later met props en transforms aan vastgeplakt wordt.
Waar de forwarder nog steeds de juiste keuze is
- Splunk-eigen inputs waar je van afhankelijk bent. Windows event log-collectie met al zijn modular inputs, Splunk-apps die een forwarder op de host verwachten, en add-ons waarvan de inputs daarop zijn afgestemd. Edge dekt daar inmiddels veel van, maar niet alles, en de gaten zijn specifiek.
- Heel kleine of streng dichtgezette vloten. Bij veertig hosts en zwaar change control is de beheerwinst van Edge bescheiden en de migratie-inspanning niet.
- Teams zonder Cribl Stream. Edge komt tot zijn recht als onderdeel van een bredere Cribl-inrichting. Op zichzelf, naast een gewone Splunk-deployment, is het een tweede product om te leren en te beheren.
Hoe wij het meestal beslissen
De factor die het vaker beslist dan welke andere ook, is of Cribl Stream al in het pad zit. Zo ja, dan is de vloot naar Edge verhuizen een logische volgende stap en vooral een kwestie van volgorde: begin met de luidruchtigste hosts, houd de forwarder waar een Splunk-input nog geen Edge-equivalent heeft, en laat de twee zo lang als nodig naast elkaar draaien. Zit Stream niet in het pad, dan stellen we meestal voor om dat eerst te doen. Het grootste deel van de reductie gebeurt toch centraal, en de vloot kan volgen zodra het team de pipelines beheerst.
Eén ding zeggen we tegen elke klant: migreer geen collectors om licentie te besparen. Migreer ze omdat je controle wilt over de data aan de rand. De licentiebesparing volgt, maar is geen reden om duizenden hosts aan te raken.