splunk offline --enforce-counts コマンドは、インデクサー クラスター内で動作しているピア ノードを永続的に廃止します。このコマンドは、ピアノードをクラスターから削除し、そのデータを削除します。このコマンドは、ピアノードが不要になった場合、または別のノードに置き換えられる場合に使用する必要があります。スプランクストップ
-f コマンドはピアノード上の Splunk サービスを停止しますが、クラスターからサービスを停止しません。
splunk offline -f コマンドはピアノードをオフラインにしますが、データを削除したり、レプリケーションや検索要素を強制したりすることはありません。splunk decommission --enforce-counts コマンドは有効な Splunk コマンドではありません。詳細については、Splunk ドキュメントの「インデクサー クラスターからピア ノードを削除する」を参照してください。

説明
Syslog は、さまざまなデバイスやアプリケーションから中央サーバーにログ メッセージを送信するための標準プロトコルです。Syslog は、トランスポート層プロトコルとして UDP または TCP を使用できます。UDP は高速ですが、メッセージの配信や順序が保証されないため、信頼性が低くなります。TCP は低速で​​すが、メッセージの配信と順序が保証されるため、信頼性が高くなります。したがって、Splunk への syslog 配信の信頼性を向上させるには、TCP syslog を使用することをお勧めします。
Splunk への syslog 配信の信頼性を向上させるもう 1 つのオプションは、1 つ以上の syslog サーバーを使用してユニバーサル フォワーダーでデータを保持し、データを Splunk インデクサーに送信することです。このようにして、syslog サーバーはバッファとして機能し、ネットワークまたは Splunk の停止の場合にデータを保存できます。Universal Forwarder は、利用可能なときに Splunk インデクサーにデータを転送できます。
ネットワーク ロード バランサーを使用して syslog トラフィックをアクティブなバックエンド syslog リスナーに送信することは、ネットワーク障害や Splunk の停止によるデータの損失や重複の可能性に対処できないため、信頼できるオプションではありません。
データを直接受信するように各 Splunk インデクサーで UDP 入力を構成することも、信頼できるオプションではありません。これは、インデクサーがネットワークに公開され、UDP の制限によりデータの損失や重複のリスクが増大するためです。

説明/参照: https://docs.splunk.com/Documentation/Splunk/7.3.2/Capacity/ HowsavedsearchesaffectSplunkEnterpriseperform

クラスター化された 2 つのインデクサーは、1 日あたり 600 GB のデータを Splunk に取り込むことを計画しており、同時ユーザーが 6 人で、高いデータ可用性と高い検索パフォーマンスを必要とするお客様に推奨される導入です。
この導入により、顧客のニーズに十分なインデックス作成能力と同時検索が可能になると同時に、クラスター全体でのデータ レプリケーションと検索性も確保されます。また、インデクサーを 2 つだけ使用することで、ハードウェアのコストを節約することもできます。クラスター内にない 2 つのインデクサーでは、データのレプリケーションやフェイルオーバーがないため、高いデータ可用性が得られません。クラスター内にない 3 つのインデクサーは、より多くのインデックス作成能力と検索の同時実行性を提供しますが、ハードウェアのコストも増加し、データの可用性も失われます。顧客のデータ保持期間、長期検索の数、または保存/スケジュールされた検索の量は、インデクサーの数の決定には関係ありません。詳細については、Splunk ドキュメントの [リファレンス ハードウェア] および [インデクサー クラスターとインデックス レプリケーションについて] を参照してください。