디버거에서 Logstash 필터가 올바르지 만 키 배너에서 검색 할 때 작동하지 않습니다.

Question

디버거에서 내 logstash 필터가 정확하지만 kibana에서 테스트 한 정확한 메시지를 검색 할 때 필드를 표시하지 않습니다. 여기 내 필터입니다 :

filter { 
if [type] == "syslog" { 
    grok { 
    match => { 'message' => '%{SYSLOG5424LINE}' } 
    } 
    syslog_pri { 
    syslog_pri_field_name => 'syslog5424_pri' 
    } 
    date { 
    match => [ 'syslog5424_ts', 'ISO8601' ] 
    } 
} 

여기 내 로그 메시지의 예입니다

<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415) 

}

그것은 필터 밤은이 적용 것 같아, 내 logstash 서비스를 다시 시작 및 테스트 grok 디버거. 어떤 아이디어가 잘못 되었나요?

Answer 1

제대로 작동하는 것처럼 보입니다.

난과 test.conf 생성 :

input { 
    stdin {} 
} 
filter { 
    grok { 
    match => { 'message' => '%{SYSLOG5424LINE}' } 
    } 
    syslog_pri { 
    syslog_pri_field_name => 'syslog5424_pri' 
    } 
    date { 
    match => [ 'syslog5424_ts', 'ISO8601' ] 
    } 
} 

output { 
    stdout { codec => "rubydebug" } 
} 

다음과 같이 시험 :

echo "<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415)" | bin/logstash -f test.conf 

그리고 출력으로 제공하는 이벤트 : 모두 가지고

{ 
    "syslog_severity_code" => 6, 
     "syslog_facility" => "local0", 
    "syslog_facility_code" => 16, 
      "syslog5424_ver" => "1", 
       "message" => "<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415)", 
      "syslog5424_app" => "mapp", 
      "syslog5424_msg" => "close ('xxx', 32415)", 
     "syslog_severity" => "informational", 
        "tags" => [], 
       "@timestamp" => 2017-01-23T18:54:44.587Z, 
      "syslog5424_ts" => "2017-01-23T10:54:44.587136-08:00", 
      "syslog5424_pri" => "134", 
       "@version" => "1", 
        "host" => "xxxx", 
     "syslog5424_host" => "mcmp" 
} 

SYSLOG5424LINE 패턴에 들어있는 필드