Logstash过滤器--Geoip

Geoip过滤器可以给IP地址添加地理位置信息，包括归属地、经纬度等。Geoip参考的数据库是Maxmind，同时它也可以让用户设置自己的查询数据库。

Geoip的基本配置：

geoip {
    source => ...
}

配置参数：

1. add_field

filter {
  geoip {
    add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
  }
}

# You can also add multiple fields at once:
filter {
  geoip {
    add_field => {
      "foo_%{somefield}" => "Hello world, from %{host}"
      "new_field" => "new_static_value"
    }
  }
}

2. add_tag

# You can also add multiple tags at once:
filter {
  geoip {
    add_tag => [ "foo_%{somefield}", "taggedy_tag"]
  }
}

3. database

类型是path，如果没有设置这个参数，默认使用GeoLiteCity数据库。如果想要更新这个数据库，参考下面的链接：
https://dev.maxmind.com/geoip/legacy/geolite/

4. source

这个字段必须有。string类型，该字段就是要解析的ip地址字段。

5. target

解析后的Geoip地址数据，应该存放在哪一个字段中，默认是geoip这个字段。

参考链接

https://www.elastic.co/guide/en/logstash/current/plugins-filters-geoip.html

过滤掉一些简单的参数设置，用的时间参考官方文档就可以了。