<Configuration>
  <Appenders>
     <Socket name="Socket" host="localhost" port="12345">
       <JsonLayout compact="true" eventEol="true" />
    </Socket>
  </Appenders>
  <Loggers>
    <Root level="info">
      <AppenderRef ref="Socket"/>
    </Root>
  </Loggers>
</Configuration>

要在 Logstash 中接受此配置，你需要使用 TCP 输入和一个日期过滤器

input {
  tcp {
    port => 12345
    codec => json
  }
}

并添加一个日期过滤器，以获取 log4j2 的 timeMillis 字段并将其用作事件时间戳

filter {
  date {
    match => [ "timeMillis", "UNIX_MS" ]
  }
}

事件元数据和 Elastic Common Schema (ECS)

编辑

除了解码事件外，此输入还将有关 TCP 连接本身的元数据添加到每个事件。当应用程序被配置为将事件直接发送到此输入的 TCP 侦听器而不包括有关自身的信息时，这会很有帮助。

历史上，此元数据被添加到各种非标准的顶级字段中，这可能会在下游造成混淆和架构冲突。借助 ECS 兼容模式，我们可以确保管道在整个事件生命周期中仍然可以访问此元数据，而不会污染顶级命名空间。

元数据组	ecs: `v1`, `v8`	ecs: `disabled`
来自接收事件的 TCP 连接的源元数据，包括发送方的名称、IP 和出站端口。	[@metadata][input][tcp][source][name]	[host]
	[@metadata][input][tcp][source][ip]	[@metadata][ip_address]
	[@metadata][input][tcp][source][port]	[port]
来自代理的 TCP 连接的代理元数据。当通过代理接收事件且 `proxy_protocol => true` 时可用	[@metadata][input][tcp][proxy][ip]	[proxy_host]
来自代理的 TCP 连接的代理元数据。当通过代理接收事件且 `proxy_protocol => true` 时可用	[@metadata][input][tcp][proxy][port]	[proxy_port]
来自安全 TCP 连接的 SSL 主题元数据。当 `ssl_enabled => true` 且 `ssl_client_authentication => 'optional' or 'required'` 时可用	[@metadata][input][tcp][ssl][subject]	[sslsubject]

例如，Elastic Common Schema 保留了顶级 host 字段，用于存放有关事件发生的主机的信息。如果事件缺少此元数据，则可以从已添加到事件的源 TCP 连接元数据中复制到适当的位置

filter {
  if [@metadata][input][tcp][source] and ![host] {
    mutate {
      copy => {
        "[@metadata][input][tcp][source][name]" => "[host][name]"
        "[@metadata][input][tcp][source][ip]"   => "[host][ip]"
      }
    }
  }
}

TCP 输入配置选项

编辑

此插件支持以下配置选项以及稍后描述的通用选项。

设置	输入类型	必需
`dns_reverse_lookup_enabled`	布尔值	否
`ecs_compatibility`	字符串	否
`host`	字符串	否
`mode`	字符串，以下之一：`["server", "client"]`	否
`port`	数字	是
`proxy_protocol`	布尔值	否
`ssl_cert`	有效的文件系统路径	已弃用
`ssl_certificate`	有效的文件系统路径	否
`ssl_certificate_authorities`	数组	否
`ssl_cipher_suites`	字符串	否
`ssl_client_authentication`	字符串，以下之一：`["none", "optional", "required"]`	否
`ssl_enable`	布尔值	已弃用
`ssl_enabled`	布尔值	否
`ssl_extra_chain_certs`	数组	否
`ssl_key`	有效的文件系统路径	否
`ssl_key_passphrase`	密码	否
`ssl_supported_protocols`	字符串	否
`ssl_verification_mode`	字符串，以下之一：`["full", "none"]`	否
`ssl_verify`	布尔值	已弃用
`tcp_keep_alive`	布尔值	否

另请参阅通用选项，其中列出了所有输入插件支持的选项。

`dns_reverse_lookup_enabled`

编辑

值类型为布尔值
默认值为 true

可以通过禁用此设置来避免 DNS 反向查找。如果禁用，则添加到事件的地址元数据将包含 TCP 层指定的源地址，并且 IP 将不会解析为主机名。

`ecs_compatibility`

编辑

值类型为字符串
支持的值为
- disabled：在根级别添加非结构化连接元数据
- v1、v8：在 [@metadata][input][tcp] 下添加结构化连接元数据
默认值取决于正在运行的 Logstash 版本
- 当 Logstash 提供 pipeline.ecs_compatibility 设置时，其值将用作默认值
- 否则，默认值为 disabled。

控制此插件与Elastic Common Schema (ECS)的兼容性。此设置的值会影响事件中TCP 连接元数据的放置位置。

`host`

编辑

值类型为字符串
默认值为 "0.0.0.0"

当 mode 为 server 时，要侦听的地址。当 mode 为 client 时，要连接的地址。

`mode`

编辑

值可以是以下任意值：server、client
默认值为 "server"

要操作的模式。server 侦听客户端连接，client 连接到服务器。

`port`

编辑

这是一个必需的设置。
值类型为数字
此设置没有默认值。

当 mode 为 server 时，要侦听的端口。当 mode 为 client 时，要连接的端口。

`proxy_protocol`

编辑

值类型为布尔值
默认值为 false

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

`ssl_cert`

编辑

在 6.4.0 中已弃用。

已替换为 ssl_certificate

值类型为路径
此设置没有默认值。

PEM 格式的证书路径。此证书将呈现给连接的客户端。

`ssl_certificate`

编辑

值类型为路径
此设置没有默认值。

PEM 格式的证书路径。此证书将呈现给 TLS 连接的另一方。

`ssl_certificate_authorities`

编辑

值类型为数组
默认值为 []

根据这些授权机构验证客户端证书或证书链。你可以定义多个文件或路径。所有证书都将被读取并添加到信任存储中。

`ssl_cipher_suites`

编辑

值类型为字符串
默认值包括 JDK 启用的所有密码套件，并且取决于 JDK 配置

支持的密码套件因使用的 Java 版本而异，条目看起来像 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384。有关详细信息，请参阅 Oracle 的JDK SunJSSE 提供程序文档和Java 密码套件名称的支持表。

要本地检查支持的密码套件，请运行以下脚本：$LS_HOME/bin/ruby -e 'p javax.net.ssl.SSLServerSocketFactory.getDefault.getSupportedCipherSuites'。

`ssl_client_authentication`

编辑

值可以是以下任意值：none、optional、required
默认值为 required

控制服务器在请求客户端连接的证书方面的行为：none 禁用客户端身份验证。required 强制客户端提供证书，而 optional 请求客户端证书，但客户端不是必须提供证书。

当启用双向 TLS（optional 或 required）时，客户端提供的证书必须由受信任的 ssl_certificate_authorities (CA) 签名。请注意，服务器不会验证客户端证书的 CN（通用名称）或 SAN（主题备用名称）。

只有当 mode 为 server 且设置了 ssl_certificate_authorities 时，才能使用此设置。

`ssl_enable`

编辑

在 6.4.0 中已弃用。

已替换为 ssl_enabled

值类型为布尔值
默认值为 false

启用 SSL（必须设置此项，其他 ssl_ 选项才能生效）。

`ssl_enabled`

编辑

值类型为布尔值
默认值为 false

启用 SSL（必须设置此项，其他 ssl_ 选项才能生效）。

`ssl_extra_chain_certs`

编辑

值类型为数组
默认值为 []

额外的 X509 证书路径数组。这些证书与主证书一起使用，以构建呈现给客户端的证书链。

`ssl_key`

编辑

值类型为路径
此设置没有默认值。

与指定证书对应的私钥路径（PEM 格式）。

`ssl_key_passphrase`

编辑

值类型为密码
默认值为 nil

私钥的 SSL 密钥密码。

`ssl_supported_protocols`

编辑

值类型为字符串
允许的值为：'TLSv1.1'、 'TLSv1.2'、'TLSv1.3'
默认值取决于所使用的 JDK。使用最新的 Logstash 时，默认值为 ['TLSv1.2', 'TLSv1.3']。'TLSv1.1' 被认为是不安全的，仅为遗留应用程序提供。

建立安全连接时允许使用的 SSL/TLS 版本列表。

如果在任何最新的 JVM（例如与 Logstash 打包的 JVM）上将插件配置为使用 'TLSv1.1'，则默认情况下禁用该协议，需要通过更改 $JDK_HOME/conf/security/java.security 配置文件中的 jdk.tls.disabledAlgorithms 手动启用。也就是说，需要从列表中删除 TLSv1.1。

`ssl_verification_mode`

编辑

值可以是以下任何一个：full、none
默认值为 full

定义如何验证 TLS 连接中另一方提供的证书

full 验证服务器证书的颁发日期是否在 not_before 和 not_after 日期之间；是否链接到受信任的证书颁发机构 (CA)，以及是否具有与证书内的名称匹配的主机名或 IP 地址。

none 不执行证书验证。

只有当 mode 为 client 时，才能使用此设置。

将证书验证设置为 none 会禁用 SSL/TLS 的许多安全优势，这是非常危险的。有关禁用证书验证的更多信息，请阅读 https://www.cs.utexas.edu/~shmat/shmat_ccs12.pdf

`ssl_verify`

编辑

在 6.4.0 中已弃用。

已替换为 ssl_client_authentication 和 ssl_verification_mode

值类型为布尔值
默认值为 true

根据 CA 验证 SSL 连接另一端的身份。对于输入，将字段 sslsubject 设置为客户端证书的字段。

`tcp_keep_alive`

编辑

值类型为布尔值
默认值为 false

指示套接字使用 TCP keep-alive。如果为 true，则底层套接字将使用 OS 的 keep-alive 默认设置。如果为 false，则不会为底层套接字配置任何 keep-alive 设置。

通用选项

编辑

所有输入插件都支持这些配置选项

设置	输入类型	必需
`add_field`	hash	否
`codec`	codec	否
`enable_metric`	布尔值	否
`id`	字符串	否
`tags`	数组	否
`type`	字符串	否

`add_field`

编辑

值类型为 hash
默认值为 {}

向事件添加字段

`codec`

编辑

值类型为 codec
默认值为 "line"

用于输入数据的编解码器。输入编解码器是在数据进入输入之前解码数据的便捷方法，而无需在 Logstash 管道中使用单独的过滤器。

`enable_metric`

编辑

值类型为 boolean
默认值为 true

默认情况下禁用或启用此特定插件实例的指标日志记录。我们默认记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

`id`

编辑

值类型为 string
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 tcp 输入。在这种情况下，添加命名的 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  tcp {
    id => "my_plugin_id"
  }
}

id 字段中的变量替换仅支持环境变量，不支持使用来自密钥存储的值。

`tags`

编辑

值类型为 array
此设置没有默认值。

向事件添加任意数量的标签。

这有助于后续处理。

`type`

编辑

值类型为 string
此设置没有默认值。

向此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

类型作为事件本身的一部分存储，因此您也可以使用该类型在 Kibana 中搜索它。

如果您尝试在已具有类型的事件上设置类型（例如，当您将事件从托运人发送到索引器时），则新的输入不会覆盖现有的类型。在托运人处设置的类型会随着事件的生命周期而保留，即使发送到另一个 Logstash 服务器也是如此。

« Syslog 输入插件 Twitter 输入插件 »