看,灰机...

Logstash接收交换机日志的时间格式问题

Logstash | 作者 bibby | 发布于2019年10月24日 | 阅读数:517

ELK版本:7.4
 
交换机日志:
<189>Oct 24 2019 10:30:03 VR-CORE %CLI/5/CMDRECORD(s):CID=0x80ca2713;Recorded command information. (Task=VTY0, Ip=10.3.51.1, VpnName=_public_, User=admin1, AuthenticationMethod="Local-user", Command="display acl all".)

Logstash配置:
input {
udp {
port => 5001
tags => switch_syslog
}
}


filter {
if "switch_syslog" in [tags] {
grok {
match => { "message" => "<%{NUMBER:id}>%{GREEDYDATA:logTime} %{USER:edition} %{NOTSPACE:event}:CID=%{BASE16FLOAT:cid};%{GREEDYDATA:info} \(Task=%{USER:task}, Ip=%{IP:sourceIP}, VpnName=%{USER:vpnName}, User=%{USER:user}, AuthenticationMethod=\"%{USER:authenticationMethod}\", Command=\"%{GREEDYDATA:command}\".\)" }
}

date {
match => [ "logTime" , "dd/MMM/yyyy:HH:mm:ss ZZZ" ]
timezone => "Asia/Shanghai"
}
}
}

问题:
logTime字段没有按date插件进行格式化,输出依旧是Oct 24 2019 10:30:03,时区还是UTC,没有+08:00,但@timestamp字段的时区是正确的,求指点。
已邀请:

yu89780012

赞同来自:

        date{
                timezone => "+00:00"
                match => ["create_time","yyyy/MM/dd HH:mm:ss.SSSSSSSSS"]
                target=>"create_time"
                locale=>"en"
        }
 这样处理试一下

要回复问题请先登录注册