Geoip 过滤器插件

GeoIP 查询非常耗费资源。此过滤器使用缓存来利用日志文件中 IP 代理通常彼此相邻且很少随机分布这一事实。此值设置得越高，缓存中存在条目的可能性就越大，此过滤器的运行速度就越快。但是，如果将此值设置得太高，则可能会使用超过所需内存。由于 Geoip API 已升级到 v2，因此目前没有任何驱逐策略，如果缓存已满，则无法添加更多记录。尝试使用不同的值来找到最适合您的数据集的性能。

此值必须设置为大于 0 的值。实际上没有理由不希望这种行为，开销极小，速度提升很大。

需要注意的是，此配置值对于 geoip_type 是全局的。也就是说，相同 geoip_type 的所有 geoip 过滤器的实例共享相同的缓存。最后声明的缓存大小将胜出。这样做的原因是，对管道中不同位置的不同实例使用多个缓存没有任何好处，这只会增加缓存未命中的次数并浪费内存。

Logstash 应使用的 MaxMind 数据库文件的路径。默认数据库为 GeoLite2-City。此插件支持多个免费数据库（GeoLite2-City、GeoLite2-Country、GeoLite2-ASN）和一些商业许可的数据库（GeoIP2-City、GeoIP2-ISP、GeoIP2-Country、GeoIP2-Domain、GeoIP2-Enterprise、GeoIP2-Anonymous-IP）。

数据库自动更新适用于默认分发版。当 database 指向用户的数据库路径时，自动更新将被禁用。有关更多信息，请参见 数据库许可证。

此插件现在同时包含 GeoLite2-City 和 GeoLite2-ASN 数据库。如果未设置 database 和 default_database_type，则将选择 GeoLite2-City 数据库。要使用包含的 GeoLite2-ASN 数据库，请将 default_database_type 设置为 ASN。

要包含在事件中的 geoip 字段数组。

可能的字段取决于数据库类型。默认情况下，相关数据库中的所有 geoip 字段都包含在事件中。

有关可用字段的完整列表以及它们如何映射到事件的结构，请参见 字段映射。

控制此插件与 Elastic Common Schema (ECS) 的兼容性。此设置的值会影响 target 的默认值。

包含要通过 geoip 映射的 IP 地址或主机名的字段。如果此字段是数组，则只使用第一个值。

查找地理信息失败时标记事件。这可用于以后的分析。

指定 Logstash 应将 geoip 数据存储到的字段。例如，如果您有 src_ip 和 dst_ip 字段，并且想要这两个 IP 的 GeoIP 信息，这将非常有用。

如果将数据保存到除 geoip 之外的目标字段，并且想要在 Elasticsearch 中使用 geo_point 相关函数，则需要更改 Elasticsearch 输出提供的模板并配置输出以使用新模板。

即使您不使用 geo_point 映射，[target][location] 字段仍然是有效的 GeoJSON。

如果此过滤器成功，则将任何任意字段添加到此事件。字段名称可以是动态的，并包含使用 %{field} 的事件部分。

示例

    filter {
      geoip {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      geoip {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将添加字段 foo_hello，其值为上述值，并将 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      geoip {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      geoip {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，将添加标签 foo_hello（当然，第二个示例会添加 taggedy_tag 标签）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们记录所有可以记录的指标，但是您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果没有指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 geoip 过滤器。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      geoip {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并包含使用 %{field} 的事件部分 示例

    filter {
      geoip {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      geoip {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将删除名称为 foo_hello 的字段。第二个示例将删除另一个非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器成功后，如果存在，将删除标签 foo_hello。第二个示例还会删除一个令人沮丧的、不需要的标签。