Geoip 过滤器插件

GeoIP 查找的成本非常高。此过滤器使用缓存来利用以下事实：IP 代理通常在日志文件中彼此相邻，并且很少随机分布。此值设置得越高，项目在缓存中的可能性就越大，并且此过滤器的运行速度就越快。但是，如果将其设置得太高，则可能会使用比预期更多的内存。由于 Geoip API 已升级到 v2，因此到目前为止没有任何驱逐策略，如果缓存已满，则无法添加更多记录。尝试使用此选项的不同值，为您的数据集找到最佳性能。

此值必须设置为 > 0。确实没有理由不希望这种行为，开销很小，而速度提升很大。

请务必注意，此配置值对 geoip_type 是全局的。也就是说，相同 geoip_type 的 geoip 过滤器的所有实例共享相同的缓存。最后声明的缓存大小将*获胜*。这样做的原因是，在管道中的不同点为不同的实例设置多个缓存没有任何好处，这只会增加缓存未命中的次数并浪费内存。

Logstash 应使用的 MaxMind 数据库文件的路径。默认数据库为 GeoLite2-City。此插件支持多个免费数据库（GeoLite2-City、GeoLite2-Country、GeoLite2-ASN）和一些商业许可的数据库（GeoIP2-City、GeoIP2-ISP、GeoIP2-Country）。

数据库自动更新适用于默认发行版。当 database 指向用户数据库路径时，将禁用自动更新。有关更多信息，请参阅数据库许可证。

此插件现在包含 GeoLite2-City 和 GeoLite2-ASN 数据库。如果未设置 database 和 default_database_type，则将选择 GeoLite2-City 数据库。要使用包含的 GeoLite2-ASN 数据库，请将 default_database_type 设置为 ASN。

要包含在事件中的 geoip 字段数组。

可能的字段取决于数据库类型。默认情况下，相关数据库中的所有 geoip 字段都包含在事件中。

有关可用字段的完整列表以及它们如何映射到事件结构，请参阅字段映射。

控制此插件与Elastic Common Schema (ECS) 的兼容性。此设置的值会影响target 的*默认*值。

包含要通过 geoip 映射的 IP 地址或主机名的字段。如果此字段是一个数组，则只会使用第一个值。

如果无法查找地理信息，则会标记事件。这可以在以后的分析中使用。

指定 Logstash 应将 geoip 数据存储到的字段。例如，如果您有 src_ip 和 dst_ip 字段，并且希望获得两个 IP 的 GeoIP 信息，则此选项会很有用。

如果将数据保存到 geoip 以外的目标字段，并且希望在 Elasticsearch 中使用 geo_point 相关函数，则需要更改 Elasticsearch 输出提供的模板，并将输出配置为使用新模板。

即使您不使用 geo_point 映射，[target][location] 字段仍然是有效的 GeoJSON。

如果此过滤器成功，则将任意字段添加到此事件。字段名称可以是动态的，并且可以使用 %{field} 包含事件的一部分。

示例

    filter {
      geoip {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      geoip {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件的字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并将 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

如果此过滤器成功，则将任意标记添加到事件。标记可以是动态的，并且可以使用 %{field} 语法包含事件的一部分。

示例

    filter {
      geoip {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      geoip {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件的字段 "somefield" == "hello"，则此过滤器在成功时将添加标记 foo_hello（当然，第二个示例将添加 taggedy_tag 标记）。

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，例如，如果您有两个 geoip 过滤器，这将特别有用。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      geoip {
        id => "ABC"
      }
    }

定期调用过滤器刷新方法。可选。

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并且可以使用 %{field} 示例包含事件的一部分。

    filter {
      geoip {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      geoip {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除另一个非动态字段。

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并且可以使用 %{field} 语法包含事件的一部分。

示例

    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      geoip {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例还将删除一个令人悲伤的多余标签。