неверная метка времени в Filebeat для файла системного журнала

Я настроил сервер ELK с файловым битом на клиенте. Конфигурация выглядит нормально, но когда я ищу свой журнал с помощью kibana, каждая запись системного журнала ссылается на 2000 год следующим образом:

{
  "_index": "filebeat-2000.02.09",
  "_type": "syslog",
  "_id": "AVLGZIPtL5gIGucGObzD",
  "_score": null,
  "_source": {
    "message": "Feb  9 15:54:01 dev postfix/qmgr[1164]: 7DF9D1803D0: removed",
    "@version": "1",
    "@timestamp": "2000-02-09T14:54:01.000Z",
    "beat": {
      "hostname": "dev",
      "name": "dev"
    },
    "count": 1,
    "fields": null,
    "input_type": "log",
    "offset": 156454,
    "source": "/var/log/syslog",
    "type": "syslog",
.....

когда я заглянул в свой файл /var/log/syslog, у меня есть такая строка:

Feb  9 16:36:01 dev postfix/qmgr[1164]: 51F48180484: from=<root@dev>, size=1838, nrcpt=1 (queue active)
Feb  9 16:36:01 dev postfix/local[2884]: 51F48180484: to=<root@dev>, orig_to=<root>, relay=local, delay=0.07, delays=0.05/0/0/0.02, dsn=2.0.0, status=sent (delivered to mailbox)

В начале строки нет года.

Мой вопрос: как добавить год или изменить метку времени? Я использую Debian 8.2 Спасибо


linux filebeat timestamp syslog
person C.Rouillon    schedule 09.02.2016    source источник
comment
stackoverflow.com/questions/29384754/   -  person jijinp    schedule 09.02.2016
comment
Я видел этот пост, но если я сбросил журнал клиента, запущенный более одного года, он не будет работать, я ищу изменение файла системного журнала, чтобы сохранить те же данные на лосях и сервере   -  person C.Rouillon    schedule 09.02.2016

Ответы (1)


arrow_upward
1
arrow_downward

Вы можете изменить настройку syslog $ActionFileDefaultTemplate с RSYSLOG_TraditionalFileFormat по умолчанию на RSYSLOG_FileFormat, которая имеет отметку времени в формате TIMESTAMP_ISO8601.

Отредактируйте файл /etc/rsyslog.conf.

#$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$ActionFileDefaultTemplate RSYSLOG_FileFormat

Затем перезапустите демон rsyslogd.

systemctl restart rsyslog

Таким образом, формат журнала будет похож на этот:

2016-02-07T03:47:14.300009+01:00 foo rhsmd: This system is registered to RHN Classic.
person jijinp    schedule 10.02.2016
comment
Однострочная команда: sed -i -e 's/RSYSLOG_TraditionalFileFormat/RSYSLOG_FileFormat/g' /etc/rsyslog.conf && systemctl restart rsyslog - person Xdg; 18.05.2018