elasticsearch - 使用Cisco Syslog的Logstash字符编码

Question

我已经在服务器上设置了ELK堆栈。我配置了logstash和其他内容，并将syslog测试消息发送到logstash。一切正常。

现在，我尝试将Cisco WLC和Cisco Switch的syslog消息发送到logstash，并且看来消息编码是错误的。

在logstash日志文件中，我看到以下条目(我删除了消息)

[2018-01-09T16:04:24,603] [WARN] [logstash.codecs.plain]接收到一个事件，该事件的字符编码与您配置的字符不同。 {:text =>“0 \ x82 \ u0002B \ u0002 \ u0001 \ u0001 \ u000 ... [已出于安全考虑而删除]，:expected_charset =>” UTF-8“}

我的logstash配置文件的输入如下:

input {
  udp {
    port => 514
    type => syslog
    codec => plain {
     charset => "ISO-8859-1"
    }
  }
}

filter {
  if [type] == "syslog" {
    grok {
     match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
     add_field => [ "received_at", "%{@timestamp}" ]
     add_field => [ "received_from", "%{host}" ]
    }
    date {
      match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
    }
  }
}


output {
  elasticsearch {
  hosts => ["localhost:9200"]
  }
}

我已经尝试过在输入中使用编解码器，但是没有成功。我做错了什么？

Answer 1

Logstash仅支持RFC3164 syslog消息，而Cisco仅支持RFC5424。
因此，您需要找到一种将RFC5424转换为RFC3164的方法