Tcp 输入插件

Log4j2 可以通过套接字发送 JSON，我们可以使用它与我们的 tcp 输入相结合来接受日志。

首先，我们需要配置您的应用程序以通过套接字以 JSON 格式发送日志。以下 log4j2.xml 完成了此任务。

请注意，您需要更改此配置中的 host 和 port 设置以匹配您的需求。

<Configuration>
  <Appenders>
     <Socket name="Socket" host="localhost" port="12345">
       <JsonLayout compact="true" eventEol="true" />
    </Socket>
  </Appenders>
  <Loggers>
    <Root level="info">
      <AppenderRef ref="Socket"/>
    </Root>
  </Loggers>
</Configuration>

要在 Logstash 中接受此日志，您需要 tcp 输入和日期过滤器

input {
  tcp {
    port => 12345
    codec => json
  }
}

并添加一个日期过滤器来获取 log4j2 的 timeMillis 字段并将其用作事件时间戳

filter {
  date {
    match => [ "timeMillis", "UNIX_MS" ]
  }
}

可以通过禁用此设置来避免 DNS 反向查找。如果禁用，添加到事件的地址元数据将包含 TCP 层指定的源地址，并且 IP 不会解析为主机名。

控制此插件与 Elastic Common Schema (ECS) 的兼容性。此设置的值会影响 TCP 连接元数据在事件上的放置位置。

当 mode 为 server 时，要监听的地址。当 mode 为 client 时，要连接到的地址。

要操作的模式。 server 监听客户端连接，client 连接到服务器。

当 mode 为 server 时，要监听的端口。当 mode 为 client 时，要连接到的端口。

代理协议支持，目前仅支持 v1 http://www.haproxy.org/download/1.5/doc/proxy-protocol.txt

PEM 格式证书的路径。此证书将呈现给连接的客户端。

PEM 格式证书的路径。此证书将呈现给 TLS 连接的另一部分。

根据这些颁发机构验证客户端证书或证书链。您可以定义多个文件或路径。所有证书都将被读取并添加到信任存储中。

支持的密码套件因使用的 Java 版本而异，条目类似于 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384。有关更多信息，请参阅 Oracle 的 JDK SunJSSE 提供程序文档 和支持的 Java 密码套件名称 表格。

控制服务器在请求客户端连接证书方面的行为：none 禁用客户端身份验证。 required 强制客户端提供证书，而 optional 请求客户端证书，但客户端不需要提供证书。

当启用双向 TLS（optional 或 required）时，客户端提供的证书必须由受信任的 ssl_certificate_authorities（CA）签名。请注意，服务器不会验证客户端证书 CN（通用名）或 SAN（主体备用名称）。

启用 SSL（必须设置才能使其他 ssl_ 选项生效）。

启用 SSL（必须设置才能使其他 ssl_ 选项生效）。

指向额外 X509 证书的路径数组。这些路径与证书一起使用，以构建呈现给客户端的证书链。

与指定证书相对应的私钥的路径（PEM 格式）。

私钥的 SSL 密钥密码。

建立安全连接时允许使用的 SSL/TLS 版本列表。

定义如何在 TLS 连接中验证另一方提供的证书

full 验证服务器证书的颁发日期是否在 not_before 和 not_after 日期范围内；链接到受信任的证书颁发机构 (CA)，并且具有与证书中的名称匹配的主机名或 IP 地址。

none 不执行证书验证。

此设置仅在 mode 为 client 时才可以使用。

根据 CA 验证 SSL 连接另一端的身份。对于输入，将字段 sslsubject 设置为客户端证书的字段。

指示套接字使用 TCP 保持活动。如果为 true，则底层套接字将使用 OS 默认设置进行保持活动。如果为 false，则不会为底层套接字配置任何保持活动设置。

向事件添加字段

用于输入数据的编解码器。输入编解码器是在数据进入输入之前对其进行解码的便捷方法，无需在 Logstash 管道中使用单独的过滤器。

禁用或启用此特定插件实例的指标日志记录，默认情况下我们会记录所有指标，但您可以为特定插件禁用指标收集。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议您在配置中设置此 ID。当您有两个或多个相同类型的插件时，这尤其有用，例如，如果您有两个 tcp 输入。在这种情况下，添加一个命名 ID 将有助于在使用监控 API 时监控 Logstash。

input {
  tcp {
    id => "my_plugin_id"
  }
}

向您的事件添加任意数量的任意标签。

这可以帮助以后的处理。

向此输入处理的所有事件添加 type 字段。

类型主要用于过滤器激活。

类型存储为事件本身的一部分，因此您也可以使用类型在 Kibana 中搜索它。

如果您尝试在已经具有类型的事件上设置类型（例如，当您从发送器发送事件到索引器时），则新的输入不会覆盖现有的类型。在发送器处设置的类型会一直保留在该事件中，即使发送到另一个 Logstash 服务器也是如此。