在ELK中合併日誌和查詢

Question

使用ELK（Elasticsearch-Logstash-Kibana）堆棧，我將syslog日誌從* nix框收集到Logstash並通過Elasticsearch發送給Kibana。這是一個典型的場景。

我的syslog日誌包括正常的系統事件，魷魚訪問日誌，captiveportal登錄日誌等 captiveportal記錄爲

1423548430 2582 192.168.1.23 xx:ae:xx:e1:xx:99 mike.brown cc9aeb1210b39571 MTI= first 

和

魷魚訪問日誌記錄爲：

1423562965.228 482 192.168.1.23 TCP_MISS/200 1254 POST http://ad4.liverail.com/? - DIRECT/31.13.93.12 text/xml 

在Logstash中，我過濾了強制性的門戶日誌，並且我得到了client_ip="192.168.1.23",user_name="mike.brown"，在Logstash配置過濾器我也過濾了魷魚訪問日誌，並且我得到了src_ip="192.168.1.23"。

我的問題是：我該如何查詢以獲取user_name，其中squid訪問日誌的client_ip等於Kibana中強制門戶的src_ip？

Answer 1

你不能在elasticsearch中進行連接。他們討論關係in this doc的一些選項。