софт который берёт твои логи из какого-то источника (файлы логов приложения, файлы логов докер контейнера и тд), форматирует их, возможно обогащает какой-то метаинфой, и пуляет дальше
То есть, судя по Вашей схеме: nginx пишет в syslog, logstash забирает логи из syslog, как их обрабатывает и передаёт в очередь, на другом конце которой так же стоит logstash, так?
тут по опыту могу сказать что в логах самое противное это стектрейсы правильно доставлять в хранилище. Например у тебя приложение пишет построчно логи. потом оно выплёвывает стектрейс на 100 строк - и надо что бы они одним сообщением попали в ELK
То есть, судя по Вашей схеме: nginx пишет в syslog, logstash забирает логи из syslog, как их обрабатывает и передаёт в очередь, на другом конце которой так же стоит logstash, так?
в этой схеме лучше поискать возможность добавить syslog'у аутпут сразу в очередь - он и есть шиппер в этом случае