# FileBeats ### Multiline options

**URL:** <https://discuss.elastic.co/t/filebeats-multiline-options/177822>\
**Category:** Вопросы на русском языке\
**Created:** [April 22, 2019, 8:37am UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822 "2019-04-22T08:37:47Z")\
**Posts on this page:** 6\
**Page:** 1

<div class="post-metadata">

**Author:** ![Lebedev](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/lebedev/32/53579_2.png) [@Lebedev](https://discuss.elastic.co/u/Lebedev)\
**Post date:** [April 22, 2019, 8:37am UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/1 "2019-04-22T08:37:47Z")

</div>

Коллеги, здравствуйте.  
Помогите справиться с задачей.  
Я настраиваю FileBeats в области ### Multiline options

На входе я имею следующий вид лога:

09:00:00.023|SMSG|48xx|ROUTING  
или  
09:00:00.024|DEBG|48xx|SWITCH begin

В рамках задачи мне требуется, чтобы ### Multiline options срабатывал, когда встречает входную строчку.

Я пробовал разные варианты, как например:  
multiline.pattern: ^%{TIME}  
multiline.pattern: ^[0-2][0-9]:[0-5][0-9]:[0-5][0-9].[0-9][0-9][0-9]

Но и в одном и во втором случае на выходе я имею один Event на весь файл, при условии того, что подобных входных строк, как минимум несколько сотен.

Подскажите, в что я делаю не так?

СпасибО!

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [April 22, 2019, 9:07am UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/2 "2019-04-22T09:07:17Z")

</div>

> [@Lebedev](#):
>
> Подскажите, в что я делаю не так?

A у вас установлены`multiline.negate: true` и `multiline.match: after`?

---

<div class="post-metadata">

**Author:** ![Lebedev](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/lebedev/32/53579_2.png) [@Lebedev](https://discuss.elastic.co/u/Lebedev)\
**Post date:** [April 22, 2019, 9:55am UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/3 "2019-04-22T09:55:41Z")

</div>

Игорь, приветствую! Рад Вас слышать=)  
Да, конечно:

multiline.negate: true  
multiline.match: after

---

<div class="post-metadata">

**Author:** ![Lebedev](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/lebedev/32/53579_2.png) [@Lebedev](https://discuss.elastic.co/u/Lebedev)\
**Post date:** [April 22, 2019, 12:37pm UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/4 "2019-04-22T12:37:51Z")

</div>

Игорь, я еще раз удалил все индексы.  
Изменил папку присутствия лога, перезагрузил LS и использовал ^[0-2][0-9]:[0-5][0-9]:[0-5][0-9].[0-9][0-9][0-9] всё заработало.

Подскажите, данный фильтр обязательно нужно прописывать в регулярном выражении или же все таки ^%{TIME} тоже, должно работать?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [April 23, 2019, 12:37pm UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/5 "2019-04-23T12:37:43Z")

</div>

На сколько я знаю, гроковские шаблоны не поддерживаются в filebeat-е и все что там есть это [ascii character classes](https://www.elastic.co/guide/en/beats/filebeat/current/regexp-support.html) так что конструкции типа `%{TIME}` там использовать нельзя.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [May 21, 2019, 12:38pm UTC](https://discuss.elastic.co/t/filebeats-multiline-options/177822/6 "2019-05-21T12:38:02Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.