logstash實戰input插件syslog

vim /etc/logstash/conf.d/syslog.conf

input{
    syslog{
    type => "system-syslog"
    port => 514
    }


}

output{
    stdout{
        codec => rubydebug
    }

}

啟動

/opt/logstash/bin/logstash -f /etc/logstash/conf.d/syslog.conf

在開一個窗口可以看到514端口啟動了

在另外一台服務器編輯

 vim /etc/rsyslog.conf 

*.*代表所有日志  @@接ip地址和對應的端口號，代表日志發送的主機和端口號

重啟

systemctl restart rsyslog

另外服務端有輸出

 

PS：-/var/log/maillog加一個-代表不立即寫入

 

修改配置文件輸入到es

input{
    syslog{
    type => "system-syslog"
    port => 514
    }


}

output{
    elasticsearch{
        hosts => ["10.13.85.9:9200"]
        index => "system-syslog-%{+YYYY.MM}"
    }

}

啟動加入到kibana里面

PS：系統日志如果狂刷可能系統硬件問題