logstash实战input插件syslog

vim /etc/logstash/conf.d/syslog.conf

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

input{     syslog{     type => "system-syslog"     port => 514     }     }   output{     stdout{         codec => rubydebug     }   }

启动

/opt/logstash/bin/logstash -f /etc/logstash/conf.d/syslog.conf

在开一个窗口可以看到514端口启动了

在另外一台服务器编辑

 vim /etc/rsyslog.conf 

*.*代表所有日志  @@接ip地址和对应的端口号，代表日志发送的主机和端口号

重启

systemctl restart rsyslog

另外服务端有输出

 

PS：-/var/log/maillog加一个-代表不立即写入

 

修改配置文件输入到es

?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

input{     syslog{     type => "system-syslog"     port => 514     }     }   output{     elasticsearch{         hosts => ["10.13.85.9:9200"]         index => "system-syslog-%{+YYYY.MM}"     }   }

启动加入到kibana里面

PS：系统日志如果狂刷可能系统硬件问题