第3章
场 景 示 例
前面虽然介绍了几十个Logstash插件的常见配置项，但是过多的选择下，如何组合使用这些插件，依然是一部分用户的难题。本章将列举一些最常见的日志场景，演示针对性的组件搭配，希望能给读者带来启发。
本章介绍的场景包括：Nginx访问日志、Nginx错误日志、Postfix日志、Ossec日志、Windows系统日志、Java日志、MySQL慢查询日志、Docker容器日志。
3.1 Nginx访问日志
访问日志处理分析绝对是使用ELK stack时最常见的需求。默认的处理方式下，性能和精确度都不够好。本节会列举对Nginx访问日志的几种不同处理方式，并阐明其优劣。
3.1.1 grok处理方式
Logstash默认自带了Apache标准日志的grok正则表达式：
3.1.2 split处理方式
Nginx日志因为部分变量中内含空格，所以很多时候只能使用%{QS}正则来做分隔，性能和细度都不太好。如果能自定义一个比较少见的字符作为分隔符，那么处理起来就简单多了。假设定义的日志格式如下：
3.1.3 JSON格式
自定义分隔符虽好，但是配置写起来毕竟复杂很多。其实对Logstash来说，Nginx日志还有另一种更简便的处理方式，就是自定义日志格式时，通过手工拼写直接输出成JSON 格式：
这里采用多个mutate插件，是因为upstreamtime可能有多个数值，所以先切割成数组以后，再分别转换成浮点型数值。而在mutate中，convert函数的执行优先级高于split函数，所以只能分开两步写。mutate内各函数的优先级顺序，之前2.3.8节有详细说明，读者可以返回去阅读。
3.1.4 syslog方式发送
Nginx从1.7版开始，加入了syslog支持，Tengine则更早。这样，我们可以通过syslog直接发送日志。Nginx上的配置如下：
access_log
syslog:server=unix:/data0/rsyslog/nginx.sock locallog;
或者直接发送给远程Logstash机器：
access_log
syslog:server=192.168.0.2:5140,facility=local6,tag=nginx-access,
severity=info logstashlog;
默认情况下，Nginx将使用local7.info等级，以nginx为标签发送数据。注意，采用syslog发送日志的时候，无法配置buffer=16k选项。