Elasticsearch 只显示 _grokparsefailure 记录，匹配​​的在哪里？

Question

一开始，我的模式不正确，所以每条记录都是不匹配的，并且在 elasticsearch 中显示为整行而不是单独的行。 然后我改变了通过http://grokdebug.herokuapp.com/ 的模式。现在我在 elasticsearch 中看不到我的任何新记录。我的 elasticsearch 只显示“_grokparsefailure”标记的记录。

匹配的在哪里？谢谢

Answer 1

我找到了根本原因——logstash 中的配置问题。我在输出部分选择了错误的类型。我解析消息，将值分配给名为“type”的变量。所以“类型”的值是错误的。