没有过滤器的_grokparsefailure

Question

我有一些简单的logstash配置：

input {
    syslog {
        port => 5140
        type => "fortigate"
    }
}

output {
    elasticsearch {
        cluster => "logging"
        node_name => "logstash-logging-03"
        bind_host => "10.100.19.77"
    }
}

多数民众赞成。问题是最终在elasticsearch中的文档确实包含_grokparsefailure：

{
  "_index": "logstash-2014.12.19",
  ...
  "_source": {
    "message": ...",
    ...
    "tags": [
      "_grokparsefailure"
    ],
    ...
  },
  ...
}

为什么？没有（grok）过滤器......

Answer 1

好的：syslog输入显然在内部使用了gork。因此，如果某些其他日志格式超过＆＃34; syslog＆＃34;点击输入a＆＃34; _grokparsefailure＆＃34;将会发生。

相反，我只是使用＆＃34; tcp＆＃34;和＆＃34; udp＆＃34;输入以达到所需的结果（之前我没有意识到）。

干杯