Logstash和Grok过滤器故障

Question

我的日志文件只有一行（来自教程日志文件）：

55.3.244.1 GET /index.html 15824 0.043 

我的conf文件看起来像这样：

input {
  file {
    path => "../http.log"
    type => "http"
  }
}

filter {
  grok {
    type => "http"
    match => [ "message", "%{IP:client}" ]
  }
}

我用grok调试器测试了我的grok过滤器，它正常工作。 我不知道自己在做什么错。 每次我得到[0]“ _grokparsefailure”

Answer 1

就调试grok过滤器而言，您可以使用此链接（ http://grokdebug.herokuapp.com/ ）。它具有非常全面的模式检测器，这是一个很好的开始。

如果您只关心IP，而不关心日志消息的其余部分，则以下过滤器将为您工作。

%{IP:host} %{GREEDYDATA:remaining_data}

调试最好的方法是使用stdin和stdout为logstash和调试你的插件grok模式。

您可以在这里找到文档http://logstash.net/docs/1.4.2/