MA
Size: a a a
2018 May 04
MP
@pullmix или может даже попросить Лу-Ченга наделать лицензий бесплатных, как думаешь ?
теоретически можно и наделать или инструкцию вменяемую написать.
SM
Sergey Murashow:
Товарищи. Назрел интересный вопрос, а можно ли модифицировать таймштампы нетфлоу на уровне модуля?
Товарищи. Назрел интересный вопрос, а можно ли модифицировать таймштампы нетфлоу на уровне модуля?
MP
Можно. Ты нетфлоу потом кибаной смотришь или как?
SM
Можно. Ты нетфлоу потом кибаной смотришь или как?
Именно ей
MP
окей. У тебя версия стека какая?
SM
622
MP
там по умолчанию в формате date идет три поля:
@timestamp
netflow.first_switched
netflow.last_switched
тебя какое-то их них интересует, верно?
@timestamp
netflow.first_switched
netflow.last_switched
тебя какое-то их них интересует, верно?
SM
Ну вот первое я думал как поменять
SM
Или что бы время использовалось не из пакета, а время получения пакета
MP
ну если говорить о @timestamp то оно эквивалетно тому времени когда логсташ принял нетйлоуц пакет и обработал его
MP
т.е. зависимости от времени на железки которая пуляет нетфлоу быть не должно
SM
т.е. зависимости от времени на железки которая пуляет нетфлоу быть не должно
Ну вот по факту на графике он берет данные из пакета
MP
Ну вот по факту на графике он берет данные из пакета
графики ты юзаешь из набора который предоставляеться модулем? скажи полное название конкретной визуализации(графика), я посомтрю как там устроено
SM
Использую discover и, например, netflow: flow exporters
MP
и кстаи на нетфлоу железке там неправильная таймзона или же время сдвинуто совсем?
SM
и кстаи на нетфлоу железке там неправильная таймзона или же время сдвинуто совсем?
время сдвинуто. там 2010 и 2006 года на устройствах
MP
тебе нужно использовать фильтр типа date https://www.elastic.co/guide/en/logstash/current/plugins-filters-date.html и mutate
SM
я так понимаю его нужно прописать в части модуля которая отвечает за работу с логсташ?
MP
там на сколько я помню при установки нетфлоу, конфиг должен упасть в папку с конфигами логсташа. вот в этом конфиге и дописать дополнительное условие