问题标签 [graylog2]

我想在 Graylog2 中集中 x 个 Asterisk 服务器的日志。我找不到任何关于此的文档，或者任何人之前写过关于这样做的文章——这对我来说显然很奇怪。

我有一个关于为此使用 SNMP 的想法，但我不相信这是最好的方法。

任何关于如何实现这一目标的建议或经验都将受到高度赞赏。

我目前正在使用 logstash 将来自不同 webapps 的数十个日志文件导入 Graylog。它工作得很好，文件被标记了，所以我知道它们来自哪个 webapp。

我无法更改 webapp，因此无法将 GELF appender 添加到 webapp 的 log4j conf 中。这个想法是定期检索日志文件，解析它们并使用logstash将它们导入Graylog。

我的问题是如何确保不导入已导入的日志事件。例如，我有一个日志文件，它的日志模式会递增：log.1、log.2 等。所以当我重新导入时，我将有可能在 log.1 第一次和 2 周后出现的日志事件他们可能会在 log.3 中。恐怕我无法用logstash的文件输入“sincedb_path”和“start_position”来处理这个问题。

所以这里有一些我收集的选项，如果有人遇到同样的问题，我希望你能提供关于它们的意见：

• 使用logstash过滤器删除某个日期之前的所有事件，需要保留每个导入文件的最后一个日志日期的索引（可能50+）和大量的配置写入
• 在 GrayLog 中使用 drool 规则来拒绝带有时间戳的日志，该时间戳早于给定类型收到的最后一个日志
• 要求将日志模式更改为类似 log.date 而不是重命名文件的日志模式（但我宁愿避免这种模式）
• 还有什么想法吗？

我将数据从 Drupal 存储到 syslog 到 Graylog。我想根据它们的严重性（Graylog 似乎调用的级别）查找所有消息。

这是显示“级别”字段的一些消息的屏幕截图。这些都恰好是通知，但我输入的搜索是在消息字段中找到单词“通知”，而不是在级别字段中。

我正在经历我们的生产灰色日志系统的某种奇怪行为。每次 graylog 服务器循环导流器时（我们限制每个索引 250 万个文档），它都会停止索引消息并引发大量索引错误。

从日志中我得到了它无法创建导流器索引的信息，但仅此而已，没有详细信息。Graylog 然后继续并尝试将传入消息写入旧索引，从而导致索引错误。

我们使用内核 3.10.77-1.el6.elrepo.x86_64 在 CentOS 6.6 x86_64 下运行 graylog 1.0.2 和 elasticsearch 1.4.5

任何帮助将不胜感激，因为我花了大约两天时间调试它，也许我需要提出错误票。

谢谢你的帮助！

塞巴斯蒂安

我正在运行数十个应用程序，并希望他们将日志推送到一台 Graylog 服务器。我有很多控制台应用程序和很多网站。

网站日志通常包含 BrowserAgent、URL 等数据。控制台应用程序包含其他类型的数据。

将所有这些应用程序记录到一个 Graylog 索引中是个好主意吗？每个应用程序都有自己的“应用程序名称”，因此理论上可以在搜索中区分日志。我想利用在一个地方搜索所有信息的好处。

我担心两件事：

• 当索引太大时是否会导致问题，因为所有公司应用程序都登录到一个地方
• 在数据架构不相同的情况下将日志混合在一起是个好主意吗（网络日志与控制台日志）

我应该设置更多的 Graylog 实例，还是可以将所有东西放在一个地方？你有什么建议？

多谢！

我正在使用 graylog2 vm 来获取我的防火墙系统日志，它运行得很好。现在我想使用 nxlog 获取一些 Windows 日志，但这根本不起作用。

我的猜测是我在 conf 文件中的 xml 代码是错误的，但我之前就错了。注意：我要从中获取日志的 VM 和 windows 服务器在同一个网络上：

问题是我的 gelf udp 输入正在运行，但源中没有显示任何内容...您发现有什么问题吗？

编辑/经过进一步调查和帮助。我将 nxlog.conf 修改为：

除了我应该运行的输入之外，我仍然没有在 graylog 中看到任何内容。

我想知道是否可以结合两个警报条件，例如 MessageCount 和 FieldContent，以在一分钟内有超过 5 条具有特定字段内容的消息时发送警报回调。是否有可能制作一个插件来做到这一点？提前致谢。

是否可以使用 Graylog 导入和索引 XML 数据？我知道它是建立在 ES 之上的，它只索引 JSON 对象的字段。有没有开箱即用的方法，或者我需要手动将 XML 转换为 JSON？

似乎通过 graylog 收集器收集 nginx、apache 和系统日志的唯一方法是以 root 身份运行它。

最佳实践认为，通常不建议以 root 身份运行服务。

除了以 root 身份运行服务之外，有没有办法收集上述日志，或者这是一般的方法？

我一直在安装最新版本的 Docker (1.8)。这个新版本很棒，因为您可以设置特定的日志驱动程序以将日志发送到 Graylog2（例如）。

这是来自 docker 的博客文章：Docker 博客宣布 1.8 这是 Graylog 团队的博客，以实现奇迹：Graylog 博客

我的问题是它不起作用:(

这是我在启动此命令时收到的错误消息：

错误 ：

这是一个屏幕截图：

任何想法 ？

编辑

听从聪明人的建议：看起来破折号不是好东西。

这是正确命令的粘贴：