Log Analyse

[fabian]

Scheint ein Logstash-Problem zu sein. Du brauchst den geoip filter: https://www.elastic.co/guide/en/logstash/current/plugins-filters-geoip.html

[Kruemel]

Das Geoip filter plugin ist installiert, aber danach habe ich alles im Default gelassen.
Sind denn ansonsten noch Anpassungen notwendig?

Danke für deinen Support!  :)

[fabian]

Falls du die Config von mir verwendest: da ist bewusst kein GeoIP drin. Die Konfiguration zerlegt in erster linie mal die Zeilen in Werte, um sie durchsuchbar zu machen.

[Kruemel]

Du würdest mir helfen, wenn Du Deine Config inkl. GeoIP mal posten würdest....

[Alphakilo]

@Alphakilo tolles dashboard hast du da.
Würde mich darüber freuen, wenn du die Kibana-Konfigs dazu gibst und ggf. einen Artikel für docs.opnsense.org daraus machst.

Hi fabian!

Ich habe mich nun endlich dran gemacht mal meine ELK-Config zu bereinigen um sie als Beispiel zur Verfügung zu stellen.
Jetzt stehe ich vor einem Problem: deine GitHub-Repo von der ich ursprünglich angefangen habe verfügt über keine klare Lizenz...

Streng genommen hätte ich so nicht mal forken dürfen.  ::)
Wäre es ein Problem für dich eine Lizenz anzugeben?

LG

[fabian]

Ich habe mich nun endlich dran gemacht mal meine ELK-Config zu bereinigen um sie als Beispiel zur Verfügung zu stellen.
Jetzt stehe ich vor einem Problem: deine GitHub-Repo von der ich ursprünglich angefangen habe verfügt über keine klare Lizenz...

Ist erledigt - ist jetzt MIT und damit solltest du keine Probleme bekommen.
MIT erlaubt so gut wie alles, solange die Lizenz erhalten bleibt.

Streng genommen hätte ich so nicht mal forken dürfen.  ::)
Wäre es ein Problem für dich eine Lizenz anzugeben?

LG

Forken darfst du auf GitHub immer - das liegt daran, dass es in den AGBs von GitHub geregelt ist.
Von dem her kannst du auf GitHub nicht viel falsch machen ;)

[uwaechte]

Hi,
irgendwie bekomme ich die logstash Konfiguration nicht ans laufen.
Die plugins wurden geladen, die einzige Änderung die ich gemacht habe ist das ich die Ports von 514 auf 5000 geändert habe, weil auf dem Port bereits rsyslog gelauscht hat. Ich sehe auch auf dem logstash Server syslog Pakete auf Port 5000 ankommen, es wird aber nichts ins elasticsearch geschrieben, welches auf dem selben Server liegt.
Ich habe das Gefühl das der Filter nicht greift.
Hat jemand eine idee wie ich das weiter debuggen kann ?
Gruß Uwe