Windows事件转发（WEF）大规模环境

当前，我们在所有DC上都使用Nxlog，并将该数据发送到中央syslog-ng服务器。由于在每台计算机上都处理代理程序，并且需要仅支持读取事件查看器的其他代理程序，因此我们正在讨论使用WEF将所有DC日志转发到少数服务器，因此我们需要处理的代理程序更少。从理论上讲，这听起来不错，但是当我开始阅读它时，我看不到任何具有HA或集群功能。我可能会在前端进行负载平衡，然后循环将事件喷洒​​到后端的5台左右服务器上，但不确定是否可以按照我想要的方式工作。

有没有人在相当大的环境中使用WEF的经验？我们每天会收到大约2亿个Windows事件日志，因此需要提高日志记录级别。此外，我们需要使日志尽可能接近实时，因此在这种规模下，是否有人在DC转发日志或接收日志的收集器的延迟方面遇到性能问题？

感谢您的帮助和投入。

我强烈建议您将所有座席切换为弹性拍子。过去我曾经使用过nxlog，但它并不能像弹性拍子一样出色地完成所有工作。

另外，它们是用GO编写的，因此不需要依赖关系。

Syslog-NG也很棒，但是我也从这里切换到了logstash，它支持集群，故障转移，队列以及许多不同的导出（例如，对graylog或splunk）。

最后，我们使用Ansible将节拍部署到Windows和Linux。

您可能需要考虑使用诸如Graylog（https://www.graylog.org/features）之类的工具来管理和监视企业日志记录环境。