snmptrap - logstash

[joachim_szlosarek]

Witam serdecznie,
Mam pewien problem z trapami snmp. 

Sam odbiór trapa działa, jednak podczas zapisu do elasticsearch okazuje się, że problematyczne są pola z adresami MAC oraz IP, które przybierają dziwną postać, np. "XÙÃ÷áM" lub "dö<9d><9a>¶\u0010"


Probowałem zmienić domyślne kodowanie, jednak nie przyniosło to oczekiwanych skutków:
        codec => plain
        {
            charset => "ASCII-8BIT"
        }


Wersja logstash: 6.2.4

Pipeline:
input {
        snmptrap {
                type => "snmptrap"
                community => [ "public", "cisco" ]
                port => 5162
                yamlmibdir => "/usr/share/logstash/vendor/bundle/jruby/2.3.0/gems/snmp-1.3.1/data/ruby/snmp/mibs"
                tags => [ "snmp" ]
                codec => plain
                {
                        charset => "ASCII-8BIT"
                }
        }
}


spotkał się ktoś z taką sytuacją?

[WitoldH]

W podanej wersji logstash-a plugin input-u "snmptrap" ma problemy z polami hex.
Należy podmienić plik ruby tego pluginu na TEN.

Po podmianie u mnie występował problem z polem adresu ip przekazywanego w trapie. Zawierało IP zapisane szesnastkowym ale to można rozwiązać prostym filtrem w logstashu. Mi zadziałało to:

Code:

if [POLE_SNMP_TRAP_Z_IP] =~ ":" {
               grok {
                       match => { "POLE_SNMP_TRAP_Z_IP" =>  "%{NOTSPACE:ip1}:%{NOTSPACE:ip2}:%{NOTSPACE:ip3}:%{NOTSPACE:ip4}" }
               }
               ruby {
                       code => "event.set('ip1', event.get('ip1').to_s.hex)
                               event.set('ip2', event.get('ip2').to_s.hex)
                               event.set('ip3', event.get('ip3').to_s.hex)
                               event.set('ip4', event.get('ip4').to_s.hex)"
               }
               mutate {
                       update => { "POLE_SNMP_TRAP_Z_IP" => "%{ip1}.%{ip2}.%{ip3}.%{ip4}" }
                       remove_field => [ "ip1", "ip2", "ip3", "ip4" ]
               }
       }

Dodatkowo radzę tego spróbować z wykomentowaną opcją kodowania w input.


Daj znać czy pomogło.

[joachim_szlosarek]

Jest dużo lepiej! Dzięki