elasticsearch - ElasticSearch中的数据类型IP

Question

我们正在通过logstash在ElasticSearch中推送数据。问题在于IP地址将其存储为字符串而不是IP数据类型。是否可以通过grok指定它？我已经尝试了下面的遵循代码，但似乎无法正常工作。

ip {             match => [ "ip", "IPV4" ]     }

Answer 1

无法在logstash中实现该映射，因为无法在grok中设置复杂类型:

By default all semantics are saved as strings. If you wish to convert a semantic’s data type, for example change a string to an integer then suffix it with the target data type. For example %{NUMBER:num:int} which converts the num semantic from a string to an integer. Currently the only supported conversions are int and float.

但是，有 thoughts about that feature。

现在，您需要指定一个自定义 elasticsearch template。从 logstash's default elasticsearch template开始，然后在属性部分添加一行:

"ip": { "type": "ip"},

在logstash配置的 elasticsearch output中将文件路径设置为 template.json:

output {
    elasticsearch {
        # Your existing config
        template => "/path/to/your/template.json"
        template_overwrite => true
    }
}

请记住，模板仅应用于新索引。