Logstash多beat数据源配置

Logstash配置不同服务器多种beat

---

环境配置：

被监控服务器OS：windows7 centos

logstash版本      ：6.2.4

logstash Doc       : https://www.elastic.co/guide/en/logstash/current/index.html

---

配置input

配置了metric和packetbeat两种beat，用不同的端口接收不同的beat数据源

input {
       beats {
       add_field => {"beatType" => "metricbeat"}
        port => "5044"
       }
        beats {
        add_field => {"beatType" => "packetbeat"}
         port => "5043"
        }
}

---

配置filter

日志添加  remote_ip字段=>IP地址  来作为不同被监控服务器的标识

filter {
    mutate {
    add_field => { "remote_ip" => "%{[@metadata][ip_address]}" }
    }
} 

---

 配置output

通过input中设置的beatType字段来区别不同beat

output {

if [beatType] == "metricbeat" {

  elasticsearch {
        hosts => ["*.*.*.*:9200"]
    index => "metricbeat-%{+YYYY.MM.dd}"
    }
}

if [beatType] == "packetbeat" {

  elasticsearch {
        hosts => ["*.*.*.*:9200"]
    index => "packetbeat-%{+YYYY.MM.dd}"
    }
}
   
}

---

注：

 对于配置完成后logstash成功启动，各beat配置并启动正常时ES无数据

检查服务器端口是否开通

---