Question

logstash 一直在后台运行怎么关掉

Answer 1

input {
file {
path => "/home/vovo/access.log" #指定日志目录或文件，也可以使用通配符*.log输入目录中的log文件。
start_position => "beginning"
}
}
filter {
grok {
match => ["message", "%{IPORHOST:client} (%{USER:ident}|-) (%{USER:auth}|-) \[%{HTTPDATE:timestamp}\] \"(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:http_version})?|-)\" %{NUMBER:response} %{NUMBER:bytes} \"(%{QS:referrer}|-)\" \"(%{QS:agent}|-)\""]
　　　　#匹配模式 message是每段读进来的日志，IP、HTTPDATE、WORD、NOTSPACE、NUMBER都是patterns/grok-patterns中定义好的正则格式名称，对照上面的日志进行编写,冒号，(?:%{USER:ident}|-)这种形式是条件判断，相当于程序里面的二目运算。如果有双引号""或者[]号，需要在前面加\进行转义。
}
kv {
source => "request"
field_split => "&?"
value_split => "="
}
　　#再单独将取得的URL、request字段取出来进行key-value值匹配，需要kv插件。提供字段分隔符"&?"，值键分隔符"="，则会自动将字段和值采集出来。
urldecode {
all_fields => true
}
　　#把所有字段进行urldecode（显示中文）
}

output {
#elasticsearch {
# host => 'localhost'
# protocol => "http"
#}
　　#把采集的数据输出到elasticsearch里面。
stdout {
codec => rubydebug
}
　　#输出到屏幕上
}