Filtre Logstash correct dans le débogueur mais ne fonctionne pas lors de la recherche dans kibana

Question

Mon filtre de logstash corrige le débogueur mais n'affiche pas les champs lors de la recherche du message exact avec lequel j'ai testé dans kibana. Voici mon filtre:

filter { 
if [type] == "syslog" { 
    grok { 
    match => { 'message' => '%{SYSLOG5424LINE}' } 
    } 
    syslog_pri { 
    syslog_pri_field_name => 'syslog5424_pri' 
    } 
    date { 
    match => [ 'syslog5424_ts', 'ISO8601' ] 
    } 
} 

et voici un exemple de mon message de journal:

<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415) 

}

Il semble que le isnt filtre l'application, je remis en marche mon service logstash et contrôlé le débogueur grok. Une idée de ce qui ne va pas?

Answer 1

Il semble que cela fonctionne correctement pour moi.

J'ai créé test.conf avec:

input { 
    stdin {} 
} 
filter { 
    grok { 
    match => { 'message' => '%{SYSLOG5424LINE}' } 
    } 
    syslog_pri { 
    syslog_pri_field_name => 'syslog5424_pri' 
    } 
    date { 
    match => [ 'syslog5424_ts', 'ISO8601' ] 
    } 
} 

output { 
    stdout { codec => "rubydebug" } 
} 

puis testé comme ceci:

echo "<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415)" | bin/logstash -f test.conf 

Et l'événement donne en sortie:

{ 
    "syslog_severity_code" => 6, 
     "syslog_facility" => "local0", 
    "syslog_facility_code" => 16, 
      "syslog5424_ver" => "1", 
       "message" => "<134>1 2017-01-23T10:54:44.587136-08:00 mcmp mapp - - close ('xxx', 32415)", 
      "syslog5424_app" => "mapp", 
      "syslog5424_msg" => "close ('xxx', 32415)", 
     "syslog_severity" => "informational", 
        "tags" => [], 
       "@timestamp" => 2017-01-23T18:54:44.587Z, 
      "syslog5424_ts" => "2017-01-23T10:54:44.587136-08:00", 
      "syslog5424_pri" => "134", 
       "@version" => "1", 
        "host" => "xxxx", 
     "syslog5424_host" => "mcmp" 
} 

qui a tous les champs que contient le canevas SYSLOG5424LINE.