file-io - 文件输入不适用于 Logstash

Question

当我使用 stdin 作为输入流时，我得到了正确的输出。但是每当我使用该文件作为输入时，输出就会在出现以下消息后卡住。

"Using milestone 2 input plugin 'file'. This plugin should be stable but if you see strange behavior, please let us know."

这是我的配置文件。

input {
  file {
    path => ["c:/users/a/b/c/logstash-1.4.1/bin/logs/logfile.log"]
    start_position => beginning
  }
}

filter {
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{MY_DATE:my_date}"]
        }
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{DATE:date}"]
        }
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{TIME:time}"]
        }
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{LOG_LEVEL:log_level}"]
        }
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{SERVER:server}"]
        }
    grok {
                patterns_dir => "./patterns"
                break_on_match => "false"
                match => ["message", "%{CLASS_NAME:class_name}"]
        }

}

output {
  stdout { codec => rubydebug }
  elasticsearch { host => localhost }
 }

我的文件路径格式是否错误？

Answer 1

您是否将新日志写入日志文件？

start_position 选项仅修改“首次接触”情况，其中文件是新的且之前未见过。这是因为Logstash会保存一个sincedb为每个文件跟踪受监控日志文件的当前位置。因此，下次重新启动Logstash时，Logstash将开始根据sincedb记录监视文件，并且start_position将不起作用。

因此，如果您想导入旧日志，则必须在启动logstash并添加start_position选项之前删除所有.sincedb文件。