Logstash过滤器--Geoip

Geoip过滤器可以给IP地址添加地理位置信息，包括归属地、经纬度等。Geoip参考的数据库是Maxmind，同时它也可以让用户设置自己的查询数据库。

Geoip的基本配置：

geoip {    source => ...}
1
2
3
1
2
3

配置参数：

1. add_field

filter {  geoip {    add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }  }}
1
2
3
4
5
1
2
3
4
5

# You can also add multiple fields at once:filter {  geoip {    add_field => {      "foo_%{somefield}" => "Hello world, from %{host}"      "new_field" => "new_static_value"    }  }}
1
2
3
4
5
6
7
8
9
1
2
3
4
5
6
7
8
9

2. add_tag

# You can also add multiple tags at once:filter {  geoip {    add_tag => [ "foo_%{somefield}", "taggedy_tag"]  }}
1
2
3
4
5
6
1
2
3
4
5
6

3. database

类型是path，如果没有设置这个参数，默认使用GeoLiteCity数据库。如果想要更新这个数据库，参考下面的链接： 
https://dev.maxmind.com/geoip/legacy/geolite/

4. source

这个字段必须有。string类型，该字段就是要解析的ip地址字段。

5. target

解析后的Geoip地址数据，应该存放在哪一个字段中，默认是geoip这个字段。

参考链接

https://www.elastic.co/guide/en/logstash/current/plugins-filters-geoip.html

过滤掉一些简单的参数设置，用的时间参考官方文档就可以了。