TShark 的 Elasticsearch 映射

Question

今年 2 月 15 日，TShark 添加了使用选项-G elastic-mapping为 Elasticsearch 生成映射文件的支持。 问题是我已经尝试过了，但是当您尝试PUT生成的映射时，Elasticsearch 会抱怨。 有任何想法吗？ （我使用的是 Elasticsearch 7.4 版）。

Answer 1

使用-G elastic-mapping选项生成的映射文件仅与 5.X 之前的 Elasticsearch 版本兼容。 在这里（ https://www.wireshark.org/news/20190215.html ）你可以看到他们添加了这个支持来生成映射，但当时它已经是旧版本了。
请记住，由于映射文件可能很大，因此可以使用选项--elastic-mapping-filter来选择协议。 例如：

tshark -G elastic-mapping --elastic-mapping-filter ip,udp,dns

生成映射后，您应该针对较新版本对其进行修改。 例如 JSON 的结构已经改变，Elasticsearch 会抱怨它。 首先删除pcap_file属性。
然后，您还需要更改 自版本 5.0 以来已 删除的string类型。 将它们更改为keyword类型。

可能还有其他事情要改变，但这些是主要的。 之后只需PUT模板，您就可以开始从 TShark 中摄取数据。