ELK之分析Nginx访问日志

elk部署请看前面介绍，这里主要介绍下kibana对nginx访问日志的可视化操作

1、修改logstash配置文件

root@767b156571bf:~#vim /etc/logstash/conf.d/11-nginx.conf
filter {
  if "one-nginx-access" in [tags] {
    grok {
      match => { "message" => "%{NGINXACCESS}" }      ## nginx日志没有进行json格式化，所以需要grok切割
    }
    geoip {
        source => "clientip"
        target => "geoip"
        fields => ["ip", "country_name", "region_name", "city_name", "timezone", "country_code3", "continent_code", "location"] ## 定义所需要字段，也可以不定义使用默认字段
        add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]  ## 添加经纬度
        add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}"  ]　 ## 添加经纬度 
        }
    mutate {
        convert => [ "[geoip][coordinates]", "float"]    
        }
    useragent {       ## 显示访问客端户端相关字段
        source => "agent"
        target => "user_agent"
  }
  }
}
output {
  if "one-nginx-access" in [tags] {
      elasticsearch {
        hosts => ["172.16.223.55:9200"]
        index => "logstash-one-nginx-access-%{+YYYY.MM.dd}"   ## 索引名称一定是logstash开头，因为默认预定义的模板必须只有匹配 logstash-* 的索引才会应用这个模板
        }
  }
}