16.1 配置語法

1.處理輸入的input


2.處理過濾的filter

3.處理輸出的output


區域:

1.logstash 中,是用{}來定義曲劇的

2.區域內,我們可以定義外掛

3.一個區域內可以定義多個外掛


欄位引用:


Logstash 還支援變數內插,在字串裡使用欄位引用的方法是這樣:


16.2 Logstash 外掛

1.inputs 輸入外掛

2. codecs  解碼

3.filtrs 過濾

4.outputs 輸出



logstash input 外掛

1.stsin 標準輸入

2.File檔案輸入

3.TCP/UDP輸入

4.Rsyslog 輸入



Stdin 標準輸入




input 
file{
codec=> 預設是plain,可以通過這個引數設定編碼方式


path=>比選項,array,需要處理的檔案路徑,絕對路徑

start_position=> 預設是結束位置


[
 
[email protected] aa]$ cat stdin.conf 
input {
 stdin{
 }
}
output {
   stdout{
}
}



[[email protected] aa]$ cat elasticsearch.conf 
input { 
     file {
       path=>["/elk/elasticsearch/logs/es_cluster.log"]
       type=>"system"
       start_position=>"beginning"
       }
}

output {
  stdout{}
}


例子,可讀取多個日誌,可使用*萬用字元:
[
 
[email protected] aa]$ cat log.conf 
input {
  file {
   path=>["/var/log/messages","/var/log/syslog","/var/log/*.log"]
   type=>"system"
   start_position=>"beginning"
    }
}

output {
  stdout{}
}




tcp 傳輸:

-rw-rw-r-- 1 elk elk  92 Jan 18 01:55 tcp.conf
[[email protected] aa]$ cat log.conf 
input {
  file {
   path=>["/var/log/messages","/var/log/syslog","/var/log/*.log"]
   type=>"system"
   start_position=>"beginning"
    }
}

output {
  stdout{}
}
[
 
[email protected] aa]$ cat tcp.conf 
input {
 tcp {
  port=>9999
  mode=>"server"
  ssl_enable=>false
 }
}
output {
  stdout{}
}




logger 往rsyslog 寫日誌工具