Logstash文件配置 - 多入多出篇

合二码农

已于 2022-01-27 11:08:50 修改

阅读量4.5k

点赞数 1

分类专栏： ELK 文章标签： elasticsearch elk big data 搜索引擎

于 2022-01-26 10:27:41 首次发布

本文链接：https://blog.csdn.net/qq_14985851/article/details/122696002

版权

本文详细介绍了Logstash的input、filter和output插件在多入多出场景下的配置方法，包括如何配置单文件和多文件实现多个输入源，并通过不同type和tag将数据分别发送到Elasticsearch的不同index。同时提供了运行Logstash的命令。

摘要由CSDN通过智能技术生成

Logstash的整个pipleline分为三个部分：

input插件：提取数据。这里可以来自file类型日志文件、TCP/UDP侦听器、syslog/IRC等若干协议特定插件，甚至是排队系统（如Redis/AQMP/Kafka）。此阶段使用围绕事件来源的元数据标记传入事件。
filter 插件：插件转换过滤并丰富数据。
output插件: 将已处理的事件加载到其他内容中，例如ElasticSearch或其他文档数据库，或排队系统，如Redis，AQMP或Kafka。它还可以配置为与API通信。也可以将像PagerDuty这样的东西连接到Logstash输出。

这里的input可以支持多个input，同时多个worker可以处理filter及output:

首先我们来看看单入单出的配置文件是怎么样的？

//nginx 日志文件为例

input {
    file {
        path => "/var/log/nginx_access.log"
        type => "nginx"
        start_position => "beginning"
        sincedb_path => "/dev/null"
    }
 
}
 
filter {
    grok {
        match => ["message", "%{TIME}\s+(?<Level>(\S+)).*?\((?<http>(\S+))\)\s*%{TIMESTAMP_ISO8601:time}\s+\[(?<