# Перемешивает логи

**URL:** <https://discuss.elastic.co/t/topic/239484>\
**Category:** Вопросы на русском языке\
**Created:** [July 1, 2020, 12:31pm UTC](https://discuss.elastic.co/t/topic/239484 "2020-07-01T12:31:38Z")\
**Posts on this page:** 9\
**Page:** 1

<div class="post-metadata">

**Author:** ![111360](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/111360/32/45037_2.png) [@111360](https://discuss.elastic.co/u/111360)\
**Post date:** [July 1, 2020, 12:31pm UTC](https://discuss.elastic.co/t/topic/239484/1 "2020-07-01T12:31:38Z")

</div>

Всем привет!  
Собираю логи logstash с сервера.  
`input { file { path => "C:/HTTP/test/log/**/*" start_position => "beginning" close_older => "1 hour" ignore_older => "2 hour" sincedb_clean_after => "2 hour" } } output { elasticsearch { hosts => ["http://elastic.test.com:9222"] index => "test-%{+MM.dd}" }`  
проблема в том что эластик меняет логи местами, файл один и тот же  
логи с файла  
20:02:17.456 Hello  
20:02:19.269 World  
20:05:02.572 Thanks  
20:05:02.572 Elastic  
20:05:02.572 Kibana  
20:05:12.572 Logstash  
В эластике  
20:02:17.456 Hello  
20:02:19.269 World  
20:05:02.572 Thanks  
20:05:02.572 Kibana  
20:05:12.572 Logstash  
20:05:02.572 Elastic  
Отсюда вопрос, как с этим бороться?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [July 1, 2020, 2:04pm UTC](https://discuss.elastic.co/t/topic/239484/2 "2020-07-01T14:04:52Z")

</div>

Elasticsearch порядок входящих документов никак не учитывает. Все что можно сделать - это отсортировать по какому-нибудь уникальному возрастающему полю, например время. Если разрешения по времени не хватает и очень нужен порядок, то можно добавить поле содержащие offset лога как тай-брейк в сортировку.

---

<div class="post-metadata">

**Author:** ![111360](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/111360/32/45037_2.png) [@111360](https://discuss.elastic.co/u/111360)\
**Post date:** [July 1, 2020, 3:22pm UTC](https://discuss.elastic.co/t/topic/239484/3 "2020-07-01T15:22:33Z")

</div>

а время у меня одно и тоже  
что в таком случае может помочь?

 ![image](https://us1.discourse-cdn.com/elastic/original/3X/2/8/281815088750d44290fc285527ec6b5127b15e29.png)

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [July 1, 2020, 3:33pm UTC](https://discuss.elastic.co/t/topic/239484/4 "2020-07-01T15:33:46Z")

</div>

> [@111360](#):
>
> что в таком случае может помочь?

См. выше:

> [@Igor\_Motov](#):
>
> Если разрешения по времени не хватает и очень нужен порядок, то можно добавить поле содержащие offset лога как тай-брейк в сортировку.

---

<div class="post-metadata">

**Author:** ![111360](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/111360/32/45037_2.png) [@111360](https://discuss.elastic.co/u/111360)\
**Post date:** [July 1, 2020, 8:07pm UTC](https://discuss.elastic.co/t/topic/239484/5 "2020-07-01T20:07:19Z")

</div>

а можно пример какой то?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [July 2, 2020, 2:22pm UTC](https://discuss.elastic.co/t/topic/239484/6 "2020-07-02T14:22:03Z")

</div>

Пример добавления поля в сортировку есть в [документации](https://www.elastic.co/guide/en/elasticsearch/guide/2.x/_sorting.html#_multilevel_sorting). Позиция в логе - это просто [поле](https://www.elastic.co/guide/en/beats/filebeat/current/exported-fields-log.html#exported-fields-log) в filebeat.

---

<div class="post-metadata">

**Author:** ![111360](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/111360/32/45037_2.png) [@111360](https://discuss.elastic.co/u/111360)\
**Post date:** [July 2, 2020, 3:28pm UTC](https://discuss.elastic.co/t/topic/239484/7 "2020-07-02T15:28:40Z")

</div>

а использую logstash , пробовал filebeat много путей с логами он не успевает, так быстро их отрабатывать

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [July 2, 2020, 3:50pm UTC](https://discuss.elastic.co/t/topic/239484/8 "2020-07-02T15:50:48Z")

</div>

Logstash это не поддерживает [https://github.com/logstash-plugins/logstash-input-file/issues/7](https://github.com/logstash-plugins/logstash-input-file/issues/7)

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [July 30, 2020, 3:55pm UTC](https://discuss.elastic.co/t/topic/239484/9 "2020-07-30T15:55:19Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.