ELK grok规则分析

ELK grok规则分析 前提：

ELK服务器已经部署：ELK7.5

需求：

需要采集路由器NAT访问记录，查看被远程访问的次数

一、路由器

 1、开启NAT日志功能

 system-view
[MSR56] nat log enable

2、开启NAT新建、删除会话和活跃流的日志功能

#根据需求选择开启，这里为了减少日志输出没有开启删除会话记录
[MSR56] nat log flow-begin
[MSR56] nat log flow-active 10

3、配置Flow日志信息输出到信息中心(默认Flow日志不输出)

[MSR56] userlog flow syslog

直接配置Flow日志输出到logstash会显示乱码

4、配置信息中心日志输出到logstash服务器

#10.5.10.126为logstash服务器IP
[MSR56] info-center loghost 10.5.10.126

二、logstash服务器