TShark 的 Elasticsearch 映射

Question

今年 2 月 15 日，TShark 增加了为 Elasticsearch 生成映射文件的支持，选项为 -G elastic-mapping。 .问题是我已经尝试过了，但是当您尝试 PUT 时 Elasticsearch 会提示生成的映射。有任何想法吗？ (我使用的是 Elasticsearch 7.4 版)。

Answer 1

生成的映射文件为 -G elastic-mapping选项与 5.X 之前的 Elasticsearch 版本兼容 仅限 .
在这里(https://www.wireshark.org/news/20190215.html)你可以看到他们添加了这个支持来生成映射，但是当时它已经是旧版本了。
请记住，由于映射文件可能很大，因此可以使用选项 --elastic-mapping-filter 选择协议(protocol)。 .例如:

tshark -G elastic-mapping --elastic-mapping-filter ip,udp,dns

生成映射后，您应该针对较新的版本对其进行修改。例如 JSON 的结构已经改变，Elasticsearch 会提示它。只需删除 pcap_file属性作为第一件事。
然后，您还需要更改 string原来的类型 removed since version 5.0 .将它们更改为 keyword类型。

可能还有其他事情需要改变，但这些是主要的。之后只需 PUT模板，您可以开始从 TShark 摄取数据。