Geoip 过滤器插件

GeoIP 查找非常耗费资源。此过滤器使用缓存来利用以下事实：IP 地址在日志文件中经常彼此相邻，并且很少具有随机分布。您设置的值越高，项目越有可能在缓存中，并且此过滤器运行速度越快。但是，如果设置得太高，您可能会使用比预期更多的内存。由于 Geoip API 已升级到 v2，到目前为止没有任何驱逐策略，如果缓存已满，则无法添加更多记录。请尝试此选项的不同值，以找到最适合您数据集的性能。

此值必须设置为 > 0 的值。真的没有理由不想要这种行为，开销很小，速度提升很大。

需要注意的是，此配置值对于 geoip_type 是全局的。也就是说，相同 geoip_type 的所有 geoip 过滤器实例共享相同的缓存。最后声明的缓存大小将胜出。这样做的原因是，在管道中不同点对不同实例使用多个缓存没有任何好处，这只会增加缓存未命中次数并浪费内存。

Logstash 应使用的 MaxMind 数据库文件的路径。默认数据库为 GeoLite2-City。此插件支持多个免费数据库（GeoLite2-City、GeoLite2-Country、GeoLite2-ASN）以及一系列商业授权数据库（GeoIP2-City、GeoIP2-ISP、GeoIP2-Country、GeoIP2-Domain、GeoIP2-Enterprise、GeoIP2-Anonymous-IP）。

数据库自动更新适用于默认发行版。当 database 指向用户的数据库路径时，自动更新将被禁用。有关详细信息，请参阅数据库许可证。

此插件现在包含 GeoLite2-City 和 GeoLite2-ASN 数据库。如果 database 和 default_database_type 未设置，则将选择 GeoLite2-City 数据库。要使用包含的 GeoLite2-ASN 数据库，请将 default_database_type 设置为 ASN。

要包含在事件中的 geoip 字段的数组。

可能的字段取决于数据库类型。默认情况下，相关数据库的所有 geoip 字段都包含在事件中。

有关可用字段及其如何映射到事件结构的完整列表，请参阅字段映射。

控制此插件与Elastic Common Schema (ECS)的兼容性。此设置的值会影响target的默认值。

包含要通过 geoip 映射的 IP 地址或主机名的字段。如果此字段是数组，则仅使用第一个值。

在查找地理信息失败时标记事件。这可以在以后的分析中使用。

指定 Logstash 应在其中存储 geoip 数据的字段。例如，如果您有 src_ip 和 dst_ip 字段，并且希望获得两个 IP 的 GeoIP 信息，则此功能很有用。

如果将数据保存到 geoip 以外的目标字段，并且想要在 Elasticsearch 中使用 geo_point 相关功能，则需要更改 Elasticsearch 输出提供的模板，并将输出配置为使用新模板。

即使您不使用 geo_point 映射，[target][location] 字段仍然是有效的 GeoJSON。

如果此过滤器成功，则将任何任意字段添加到此事件。字段名称可以是动态的，并使用 %{field} 包括事件的一部分。

示例

    filter {
      geoip {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      geoip {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在，将添加字段 foo_hello，其值为上面且 %{host} 片段替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标记添加到事件。标记可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      geoip {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      geoip {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，将添加标记 foo_hello（第二个示例当然会添加 taggedy_tag 标记）。

禁用或启用此特定插件实例的指标记录。默认情况下，我们会记录所有可以记录的指标，但是您可以禁用特定插件的指标收集。

向插件配置添加唯一 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在您的配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 geoip 过滤器。在这种情况下添加命名的 ID 将在使用监控 API 时帮助监控 Logstash。

    filter {
      geoip {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并使用 %{field} 包括事件的一部分 示例

    filter {
      geoip {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      geoip {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除一个额外的非动态字段。

如果此过滤器成功，则从此事件中删除任意标记。标记可以是动态的，并使用 %{field} 语法包含事件的一部分。

示例

    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，将删除标记 foo_hello（如果存在）。第二个示例也将删除一个令人悲伤、不需要的标记。