Question

我正在使用ELK堆栈来显示服务器日志文件中的数据。我有一个名为“_type”的参数，它对每个服务器都是唯一的。它一切正常，我可以做一个（URL）查询，如：

query:(query_string:(analyze_wildcard:!t,query:'_type:server1'))

但我无法弄清楚如何在我的查询中有两个（或更多）“_type”参数。我想在同一图表中看到“_type = server1”和“_type = server2”。

这不可能吗？

谢谢！

Answer 1

尝试使用query:'_type:server1 OR _type:server2'。相关文档部分here。