Logstash 8.5.1按源IP输出至不同文件失败问题求助

你的核心问题是直接用字符串等于判断匹配数组类型的ip字段，导致条件永远不成立——数组和单个字符串无法直接相等，所以所有日志都会进入else分支。以下是具体解决方法和更优实现：

基础解决方法：用in操作符判断数组包含关系 #

Logstash支持用in操作符检查某个值是否存在于数组中，修改filter条件即可：

Filter阶段配置 #

filter {
  # 先确保ip字段为数组类型（避免部分日志解析异常导致的非数组情况）
  mutate {
    convert => { "ip" => "array" }
  }

  # 判断目标IP是否在ip数组中
  if "192.168.1.155" in [ip] {
    mutate { add_field => { "[@metadata][log_target]" => "host155" } }
  } elsif "192.168.1.100" in [ip] {
    mutate { add_field => { "[@metadata][log_target]" => "host100" } }
  } else {
    mutate { add_field => { "[@metadata][log_target]" => "generic" } }
  }
}

Output阶段配置 #

利用@metadata字段（该字段不会被写入最终日志，仅用于内部路由）输出到对应文件：

output {
  file {
    path => "/var/log/logstash/%{[@metadata][log_target]}.log"
    codec => "json_lines"
  }
}

更优实现：用translate插件批量处理多IP场景 #

如果需要匹配的目标IP数量较多，大量if-else会让配置臃肿，推荐使用translate插件批量映射：

1. 准备IP映射文件 #

创建YAML格式的映射文件（比如/etc/logstash/ip_mapping.yml）：

192.168.1.155: host155
192.168.1.100: host100
192.168.1.200: host200

2. Filter阶段配置 #

filter {
  mutate {
    convert => { "ip" => "array" }
  }

  translate {
    field => "ip"                # 要匹配的数组字段
    destination => "[@metadata][log_target]"  # 匹配结果存储到metadata
    dictionary_path => "/etc/logstash/ip_mapping.yml"  # 映射文件路径
    array => true                # 开启数组遍历匹配，找到第一个匹配项即返回
    fallback => "generic"        # 无匹配IP时的默认值
  }
}

3. Output阶段配置 #

和基础方法一致，用@metadata字段路由输出即可。

注意事项 #

• 如果IP数组中存在多个匹配的目标IP，in判断会匹配第一个满足条件的分支，translate会返回第一个匹配的映射值，需根据业务需求处理这类场景。
• 始终确保ip字段为数组类型，避免因日志解析异常导致的判断失效。

内容的提问来源于stack exchange，提问作者Florent H