Rsyslog Para Filebeat através de udp

[Joao_Goncalves (João Gonçalves)]

Boa tarde,
Estou a tentar enviar logs através de udp (rsyslog) numa máquina ubuntu (192.168.75.138 pel a porta 5141)para outra máquina (filebeat) debian (192.168.75.177) porém mesmo com o firewall configurado não ha comunicação, em anexo envio algumas configurações feitas. As configurações do rsyslog funcionam corretamente no envio de logs para a plataforma graylog mas não para esta a elk.

[thiago (Thiago Souza)]

Olá João!

Primeiro, vamos tentar fazer uma correção simples na sua configuração do Filebeat. A sintaxe usada na configuração se chama yaml e a indentação nesta sintaxe é de extrema importância para configurar direito (infelizmente o Beats não valida totalmente a configuração), sendo assim existe um erro na sua configuração, você precisa indentar a configuração host para funcionar corretamente. Poderia tentar adicionar dois espaços antes do setting host, para ficar logo abaixo do enabled?

Por exemplo, atualmente está:

- type: udp
  enabled: true
host: "192.168.75.138:5141"

Tente mudar para:

- type: udp
  enabled: true
  host: "192.168.75.138:5141"

Abs!

[Joao_Goncalves (João Gonçalves)]

Boas,
Já corrigi, fui ao ultimo log criado pelo filebeat e foi apresentado o seguinte

[thiago (Thiago Souza)]

Bem agora o Filebeat está reclamando que não consegue abrir o servidor udp neste ip com esta porta. Será que já não tem outro processo rodando nesta porta?

[Joao_Goncalves (João Gonçalves)]

Já verifiquei e também já alterei a porta para confirmar. O log do filebeat continua o mesmo, as configurações estão corretas, o filebeat está a enviar para o logstash mas não está a receber.

[thiago (Thiago Souza)]

Essa mensagem no log bind: cannot assign requested address significa que o filebeat não está conseguindo abrir o servidor udp na interface confgurada 192.168.75.138:5141. Dois motivos para isso acontecer:

1. Já existe outro processo rodando na porta 5141. Use o comando netstat -lpu | grep 5141 para te ajudar a identificar isso.
2. O endereço IP 192.168.75.138 pode estar errado. Verifique com ifconfig (ou ip addr, dependo da distribuição que estiver usando) se este IP é realmente o IP deste servidor que está tentando rodar o Filebeat.

[Joao_Goncalves (João Gonçalves)]

Parece que já consegui, usei tipo syslog com protocol.udp e parece ter funcionado, agora não estou é a conseguir indexar os logs no elasticsearch:

[filebeat]

[logstash]

[elasticsearch]