elasticsearch - logstash解析IPV6地址

Question

我是logtash / grok模式的新手。

在我的日志文件中，我使用以下格式的一行:

::ffff:172.19.7.180 - - [10/Oct/2016:06:40:26 +0000] 1 "GET /authenticator/users HTTP/1.1" 200 7369

当我使用grok构造函数尝试使用匹配％{IP}的简单IP模式时，它仅显示部分匹配:

after match:    .19.7.180 - - [10/Oct/2016:06:33:58 +0000] 1 "POST /authenticator/searchUsers HTTP/1.1" 200 280

因此，仅部分IP地址匹配，因为“匹配后”部分仍显示IP地址的其余部分。

查询:
1. IP地址:: ffff:172.19.7.180的格式是什么？
2.如何解决此问题，以确保正确解析IP地址？

顺便说一句，我正在使用nodejs中间件morgan logger，它以这种格式打印IP地址。

Answer 1

请注意，该日志包含和 IPv4和IPv6地址，并用冒号分隔，因此您需要使用以下正确的模式:

%{IPV6:ipv6}:%{IPV4:ipv4}

然后，在您的事件中，您将有两个字段:

"ipv6" => "::ffff"
"ipv4" => "172.19.7.180" 

直到解决 this issue为止，它将起作用。