Splunk props.conf配置

props参数

• SHOULD_LINEMERGE 默认为true，日志不会根据分行分成多个事件。false则会分成多个事件
• LINE_BREAKER 将事件分行，通过正则捕获分组来后，被匹配的作为前一段内容的结束然后换行，被捕获的内容会被丢弃。（换行不换事件）

------
111<message>222<message>333
------

输入(< message>)变为

------
111
222
333
-----

• BREAK_ONLY_BEFORE 将事件内匹配到的内容作为新事件的开头（换事件）

Active Internet connections (including servers)
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)    
tcp4       0      0  127.0.0.1.62552        127.0.0.1.62553        ESTABLISHED
tcp4       0      0  127.0.0.1.62553        127.0.0.1.62552        ESTABLISHED
tcp4       0      0  192.168.1.3.62550      110.43.34.72.443       ESTABLISHED
Active Internet connections (including servers)
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)    
tcp4       0      0  127.0.0.1.62558        127.0.0.1.62559        ESTABLISHED
tcp4       0      0  127.0.0.1.62559        127.0.0.1.62558        ESTABLISHED
tcp4       0      0  192.168.1.3.62550      110.43.34.72.443       ESTABLISHED

输入 Active后

--------------
Active Internet connections (including servers)
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)    
tcp4       0      0  127.0.0.1.62552        127.0.0.1.62553        ESTABLISHED
tcp4       0      0  127.0.0.1.62553        127.0.0.1.62552        ESTABLISHED
tcp4       0      0  192.168.1.3.62550      110.43.34.72.443       ESTABLISHED
-------------
Active Internet connections (including servers)
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)    
tcp4       0      0  127.0.0.1.62558        127.0.0.1.62559        ESTABLISHED
tcp4       0      0  127.0.0.1.62559        127.0.0.1.62558        ESTABLISHED
tcp4       0      0  192.168.1.3.62550      110.43.34.72.443       ESTABLISHED

• MUST_BREAK_AFTER 事件内被匹配那一行，生成新的事件

111<message>
222<message>
333<message>

无论是匹配 < message> 还是 \d 还是 \w，只要匹配中了，都生成新的一个事件

111<message>
--------------
222<message>
--------------
333<message>

• 下面是通过timestamp拆分事件
• BREAK_ONLY_BEFORE_DATE 设置为 true
• TIME_PREFIX 时间的前缀
  输入GMT

[machine] GMT2016-11-16T22:31:07.330Z  abcd
[machine] GMT2016-11-16T22:31:08.330Z  edfg
[machine] GMT2016-11-16T22:31:09.330Z  knml

• TIME_FORMAT
  输入%Y-%m-%dT%H:%M:%S.%3N
• MAX_TIMESTAMP_LOOKAHEAD
  输入 24
  
  
• MUST_NOT_BREAK_AFTER与刚才 MUST_BREAK_AFTER相反。没有什么好的例子。
• TRUNCATE 决定多少个字符可以为1行，默认10000个。
• 通用转发器有两个参数：EVENT_BREAKER_ENABLE 和 EVENT_BREAKER
• 默认我们常用的设置保存后，会在 $SPLUNK_HOME/etc/app/search/local/props.conf