TCP 输入插件

Log4j2 可以通过套接字发送 JSON，我们可以将其与 TCP 输入结合使用来接收日志。

首先，我们需要配置你的应用程序以通过套接字以 JSON 格式发送日志。以下 log4j2.xml 完成此任务。

请注意，你需要在该配置中更改 host 和 port 设置以满足你的需求。

<Configuration>
  <Appenders>
     <Socket name="Socket" host="localhost" port="12345">
       <JsonLayout compact="true" eventEol="true" />
    </Socket>
  </Appenders>
  <Loggers>
    <Root level="info">
      <AppenderRef ref="Socket"/>
    </Root>
  </Loggers>
</Configuration>

要在 Logstash 中接受此配置，你需要使用 TCP 输入和一个日期过滤器

input {
  tcp {
    port => 12345
    codec => json
  }
}

并添加一个日期过滤器，以获取 log4j2 的 timeMillis 字段并将其用作事件时间戳

filter {
  date {
    match => [ "timeMillis", "UNIX_MS" ]
  }
}

可以通过禁用此设置来避免 DNS 反向查找。如果禁用，则添加到事件的地址元数据将包含 TCP 层指定的源地址，并且 IP 将不会解析为主机名。

控制此插件与Elastic Common Schema (ECS)的兼容性。此设置的值会影响事件中TCP 连接元数据的放置位置。

当 mode 为 server 时，要侦听的地址。当 mode 为 client 时，要连接的地址。

要操作的模式。server 侦听客户端连接，client 连接到服务器。

当 mode 为 server 时，要侦听的端口。当 mode 为 client 时，要连接的端口。

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

PEM 格式的证书路径。此证书将呈现给连接的客户端。

PEM 格式的证书路径。此证书将呈现给 TLS 连接的另一方。

根据这些授权机构验证客户端证书或证书链。你可以定义多个文件或路径。所有证书都将被读取并添加到信任存储中。

支持的密码套件因使用的 Java 版本而异，条目看起来像 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384。有关详细信息，请参阅 Oracle 的JDK SunJSSE 提供程序文档和Java 密码套件名称的支持表。

控制服务器在请求客户端连接的证书方面的行为：none 禁用客户端身份验证。required 强制客户端提供证书，而 optional 请求客户端证书，但客户端不是必须提供证书。

当启用双向 TLS（optional 或 required）时，客户端提供的证书必须由受信任的 ssl_certificate_authorities (CA) 签名。请注意，服务器不会验证客户端证书的 CN（通用名称）或 SAN（主题备用名称）。

启用 SSL（必须设置此项，其他 ssl_ 选项才能生效）。

启用 SSL（必须设置此项，其他 ssl_ 选项才能生效）。

额外的 X509 证书路径数组。这些证书与主证书一起使用，以构建呈现给客户端的证书链。

与指定证书对应的私钥路径（PEM 格式）。

私钥的 SSL 密钥密码。

建立安全连接时允许使用的 SSL/TLS 版本列表。

定义如何验证 TLS 连接中另一方提供的证书

full 验证服务器证书的颁发日期是否在 not_before 和 not_after 日期之间；是否链接到受信任的证书颁发机构 (CA)，以及是否具有与证书内的名称匹配的主机名或 IP 地址。

none 不执行证书验证。

只有当 mode 为 client 时，才能使用此设置。

根据 CA 验证 SSL 连接另一端的身份。对于输入，将字段 sslsubject 设置为客户端证书的字段。

指示套接字使用 TCP keep-alive。如果为 true，则底层套接字将使用 OS 的 keep-alive 默认设置。如果为 false，则不会为底层套接字配置任何 keep-alive 设置。

向事件添加字段

用于输入数据的编解码器。输入编解码器是在数据进入输入之前解码数据的便捷方法，而无需在 Logstash 管道中使用单独的过滤器。

默认情况下禁用或启用此特定插件实例的指标日志记录。我们默认记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有 2 个 tcp 输入。在这种情况下，添加命名的 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  tcp {
    id => "my_plugin_id"
  }
}

向事件添加任意数量的标签。

这有助于后续处理。

向此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

类型作为事件本身的一部分存储，因此您也可以使用该类型在 Kibana 中搜索它。

如果您尝试在已具有类型的事件上设置类型（例如，当您将事件从托运人发送到索引器时），则新的输入不会覆盖现有的类型。在托运人处设置的类型会随着事件的生命周期而保留，即使发送到另一个 Logstash 服务器也是如此。