# Проблема с парсингом логов в Logstash

**URL:** <https://discuss.elastic.co/t/logstash/325927>\
**Category:** Вопросы на русском языке\
**Created:** [February 20, 2023, 3:39am UTC](https://discuss.elastic.co/t/logstash/325927 "2023-02-20T03:39:47Z")\
**Posts on this page:** 2\
**Page:** 1

<div class="post-metadata">

**Author:** ![Bender1](https://avatars.discourse-cdn.com/v4/letter/b/7ba0ec/32.png) [@Bender1](https://discuss.elastic.co/u/Bender1)\
**Post date:** [February 20, 2023, 3:39am UTC](https://discuss.elastic.co/t/logstash/325927/1 "2023-02-20T03:39:47Z")

</div>

Пришла в голову идея добывать и хранить логи с большого зоопарка сетевого оборудования с помощью ELK.  
Все шло отлично, пока не добрался до фильтров.  
Вот пример моих логов:

```auto
23-Nov-2008 03:53:27 :%STP-W-PORTSTATUS: e1: STP status Forwarding
23-Nov-2008 03:53:24 :%LINK-W-Down: e1
23-Nov-2008 03:53:23 :%LINK-I-Up: e1

```

Вот такой получился фильтр.

```auto
filter {
  if [type] == "ring" {
     grok {
      match => { "message" => "%{SYSLOGHOST:date} %{TIME:time} %{NOTSPACE:ID} %{BASE16FLOAT:port}%{GREEDYDATA:msg}" }
       add_field => ["received_at", "%{@timestamp}"]
      add_field => ["received_from", "%{host}"]
    }
    date {
      match => ["syslog_timestamp", "MMM d HH:mm:ss", "MMM dd HH:mm:ss"]
    }
  }
}

```

Проверил его несколькими онлайн парсерами - идеально. На а на выводе kabana получаю tags\_grokparsefailure.  
Я полностью уверен что это именно фильтр, так как если я просто оставляю %{GREEDYDATA:msg} все прекрасно работает, но идет сплошным текстом.  
И что делать, когда в логе появляются несколько отличающиеся события, например:  
`23-Nov-2008 03:53:26 :%AAA-I-CONNECT: User CLI session for user komarik over telnet , source 188.133.124.16 destination 192.168.0.1 ACCEPTED`  
Тут только весь вывод, начиная с номера порта, парсить как GREEDYDATA, что бы и такие сообщения парсились ?  
Тыкните в ошибку, пожалуйста. Уж слишком долго над этим сижу.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [March 20, 2023, 3:39am UTC](https://discuss.elastic.co/t/logstash/325927/2 "2023-03-20T03:39:49Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.