Kibana 地标图可视化

ElasticSearch 可以使用 ingest-geoip 插件可以在 Kibana 上对 IP 进行地理位置分析，

这个插件需要 Maxmind 的 GeoLite2 City，GeoLite2 国家和 GeoLite2 ASN geoip2 数据库。有关更多详细信息，请参见

http://dev.maxmind.com/geoip/geoip2/geolite2/，现在需要注册才能下载！

安装 GeoIP

# 将软件包在 logstash 目录中解压

[root@web01 logstash]# rz ingest-geoip-6.6.0.zip

[root@web01 logstash]# unzip ingest-geoip-6.6.0.zip

# 下载地址

http://geolite.maxmind.com/download/geoip/database/

# 外网太慢，我存了一份

https://www.linuxyz.top/download/software/ELK/ingest-geoip-6.6.0.zip

配置 Logstash

配置时需要注意，索引名称必须是 "logstash-*" 才可以使用 GeoIP ，生成坐标图

[root@web01 conf.d]# cat geotest.conf

input {

  file {

    path => "/var/log/nginx/access.log"

    type => "nginx_access_log"

    start_position => "end"

    codec => "json"

  }

}

filter {

  json {

    source => "message"

    remove_field => ["message"]

  }

  geoip {

    source => "clientip"

    target => "geoip"

    database => "/etc/logstash/config/GeoLite2-City.mmdb"

    add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]

    add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}"  ]

  }

  mutate {

    convert => [ "[geoip][coordinates]", "float"]

  }

}

output {

  elasticsearch {

    hosts => ["10.0.0.121:9200"]

    index => "logstash-%{type}-%{+YYYY.MM.dd}"

  }

}

模拟生成数据（多 Client IP）

Nginx 日志文件下载

# 下载测试日志

[root@blog ELK]# wget https://www.linuxyz.top/download/software/test_log/access_test.log

[root@blog ELK]# cat access_test.log >> /var/log/nginx/access.log