Logstash配置更改-重新解析舊日志

Question

我正在嘗試使用較新的配置重新解析舊日志； 有什么辦法嗎？

我正在使用兩台服務器：一台使用logstash-forwarder（伐木工人），另一台使用elasticsearch和logstash。 （*所有這些都是最新版本。）

我已經看到： http ://logstash.net/docs/1.4.2/inputs/file#sincedb_path，並且在轉發器服務器上沒有sincedb。 （*我知道sincedb是可選的。）

因此，如果sincedb是可選的，則尾部在哪里-顯然正在跟蹤日志，但是我找不到位置。

提前致謝！

Answer 1

您發送的文檔鏈接用於logstash，而不是logstash轉發器。

logstash-forwarder將其注冊表放入.logstash-forwarder文件中。 有時，此文件位於啟動目錄中（如果您手動啟動它，它可能會更改！），但是請檢查啟動腳本。

logstash-forwarder將處理與給定模式匹配的所有活動文件。 較舊的版本將“活動”定義為“ 24小時內”； 如果您從源代碼進行編譯，則可以在配置中進行設置（我相信是“死時間”）。 否則，您可能必須更新文件的修改時間（UNIX：觸摸）。

請注意，這不會更新Elasticsearch中的任何記錄-將插入新文檔。

祝好運！