简介
将日志存入elasticsearch后就可以使用kibana直观的分析nginx日志。这篇文章主要是记录配置kibana分析nginx日志。
解析日志
虽然在我前面的文章中将nginx日志成功存入elaticsearch了，但是并不方便分析。这篇文章中重新调整logstash的filter配置，对日志做更多格式化处理之后再存入elasticsearch。下面是调整之后的配置
[root@informixtest logstash-8.6.2]# cat config/logstash-test2.conf
# Sample Logstash configuration for creating a simple
# Beats -> Logstash -> Elasticsearch pipeline.
input {
beats {
port => 5044
}
}
filter {
grok {
match => { "message" => "%{IPORHOST:clientip} - - \[%{HTTPDATE:htptime}\] \"%{DATA:htpmethod}( (?<htpurl>.*?)(\?(?<htppara>.*?))? HTTP/%{NUMBER:htpver})?\" %{NUMBER:htpstatus} %{NUMBER:htpbytes} \"%{DATA:htpref}\" \"%{DATA:htpagent}\"" }
remove_field => ["message"]
}
date {
match => ["htptime","dd/MMM/yyyy:HH:mm:ss Z"]
remove_field => ["htptime"]
}
mutate {
convert => {
"htpstatus" => "integer"
"htpbytes" => "integer"
}
}
kv {
source => "htppara"
target => "htppara"
field_split => "&"
}
}
output {
elasticsearch {
hosts => ["http://localhost:9200"]
index => "test"
user => "elastic"
password => "xxx"
}
}
解释：
- 上面grok将请求中参数字段分割出来放到htppara，grok表达式(\?(?<htppara>.*?))?的第一个\?表示匹配url中的字符?（url中一般使用?分割参数，?在正则中表示匹配0或1次，这里使用\进行转义），最后那个?是为了匹配没有参数的url的请求；为了对于异常http请求提供支持，这里将httpmethod后面的全部括起来后加?。
- date模块将htptime转为日期格式，转换前htptime是字符串，转换后默认放入timestamp。
- mutate模块将htpstatus,htpbytes转为整数。
- kv模块将htppara转为键值对，如可以通过htppara.token引用参数token字段。
-
为了kibana正确显示时间，需要调整kibana的时区:
timezone_set.png
如果需要删除日志重新导入，需要清空filebeat的读取记录:
[root@oneNginx1 filebeat]# pwd
/var/lib/filebeat/registry/filebeat
[root@oneNginx1 filebeat]# > log.json
[root@oneNginx1 filebeat]# systemctl restart filebeat
kibana discover
- data view是多个index的集合，创建data view
kibana菜单路径stack management -> data view -
筛选日志
discover1.png
备注：
- 上图中使用的data view是test;
- 左上角可以添加筛选条件(图中只加了一个筛选条件NOT:htpstatus:200)，右上角是时间段筛选
-
保存筛选条件
右上角的save可以保存筛选条件，方便以后直接使用。
discover2.png
kibana dashboard
dashboard就是一个统计数据展示面板，可以通过不同的维度进行统计和展示。
kibana菜单路径 Dashboard -> create dashboard -> create visualization。create visualization就是给dashboard添加统计图。
-
按时间统计http请求数量
http_time_count.png -
按http返回状态统计请求
http_status.png -
统计所有请求总数
http_count.png -
统计访问次数最多的url
http_url.png
5.最终效果
final.png
dashboard的功能很厉害，多种默认统计图的模板，支持拖拽排版，通过统计图进行进一步筛选等等，并且可以设置不同的筛选条件，保存多个dashboard。
总结
文中记录的只是基本使用。网上建议nginx日志使用json格式保存，会减少logstash格式化日志的工作量。在使用google浏览器测试的过程中发现kibana删除data view没有反应，F12查看点击删除时有post http...错误，换成火狐浏览器就好了。
参考
- 如果需要处理更加复杂的日志需要参考logstash filter plugin
