ELK 堆栈（Logstash、Elasticsearch 和 Kibana）与并发远程系统日志服务器？

Question

我正在构建一个日志分析器服务来开始主要监控我们的 pfSense 防火墙、XenServer 管理程序、FreeBSD/Linux 服务器和 Windows 服务器。

互联网上有很多关于 ELK 堆栈以及如何使其正常工作的文档。但我想以不同的方式使用它，但我不知道这是一个好的解决方案还是只是浪费时间/磁盘空间。

我已经有一台 FreeBSD 10.2 机器作为远程系统日志服务器，我的想法是简单地将所有日志集中在这台机器上，系统日志服务器将日志转发logstash-forwarder给 ELK 服务器。

我很清楚这种方法将提高此设置的磁盘要求，但另一方面，我将只有一台logstash-forwarder安装了守护程序的机器，这对我来说似乎很好。

但谈问题。该logstash分析器匹配[host]与服务器的主机名发送日志消息，并在这种方法只存在对ELK，远程系统日志服务器“服务器”节目的。

我知道我可以自定义logstash配置文件上的设置，但我不知道（而且我没有经验知道）这是否只是它的解析器上的一个简单设置是否会危及整个 ELK经验。

最后，我只想要一些关于我的日志架构的建议，以及它是否可以工作，或者我是否应该没有其他选择。

提前致谢，

Answer 1

是的。可以使用过滤器轻松更改hostLogstash 输出中的字段。ruby

    ruby {
            code => "
                    event['host'] = event['message'].split(' ')[3]
                   "
    }

这里我假设在 syslog 服务器日志中，主机字段是第四个字段，其中空格是分隔符。