1. _template/ 和下划线 _ 的含义 #

• _template/ 是Elasticsearch的内置系统API端点，专门用来管理索引模板。所有以下划线_开头的路径都是Elasticsearch预留的系统级资源，用来和用户自定义的索引、字段等做区分，避免命名冲突——比如_search、_index这些都是系统自带的操作接口，和你自己创建的packets-*索引完全不是一个层级的概念。
• 索引不会像文件夹那样分层存储。Elasticsearch里的索引是独立的逻辑存储单元，packets-*只是一个通配符，用来匹配一系列符合命名规则的索引；模板的作用是给新创建的、符合这个通配符的索引自动套用预设的mapping和配置，完全不是物理上的文件夹结构。

2. 处理弃用警告：template 字段已被 index_patterns 替代 #

你收到的警告是因为旧版本的template字段已经被官方废弃，现在需要用index_patterns来指定模板要匹配的索引模式。修正后的请求应该是这样的：

PUT _template/packets
{
  "index_patterns": "packets-*",
  "mappings": {
    "pcap_file": {
      "dynamic": "false",
      "properties": {
        "timestamp": { "type": "date" },
        "layers": {
          "properties": {
            "frame": {
              "properties": {
                "frame_frame_len": { "type": "long" },
                "frame_frame_protocols": { "type": "keyword" }
              }
            },
            "ip": {
              "properties": {
                "ip_ip_src": { "type": "ip" },
                "ip_ip_dst": { "type": "ip" }
              }
            },
            "udp": {
              "properties": {
                "udp_udp_srcport": { "type": "integer" },
                "udp_udp_dstport": { "type": "integer" }
              }
            }
          }
        }
      }
    }
  }
}

执行这个修正后的请求，就不会再出现弃用警告，返回acknowledged: true就表示模板创建成功。

3. 创建索引模式并关联数据 #

步骤1：确保Filebeat输出到符合模板的索引 #

在Filebeat的配置文件中，需要设置output.elasticsearch.index为符合packets-*模式的命名（比如按日期拆分的packets-%{+yyyy.MM.dd}），这样Filebeat生成的新索引会自动匹配我们创建的模板，套用正确的mapping。示例配置片段：

output.elasticsearch:
  hosts: ["你的ES地址:9200"]
  index: "packets-%{+yyyy.MM.dd}"

修改后重启Filebeat让配置生效。

步骤2：在Kibana中创建索引模式 #

1. 打开Kibana，进入Stack Management → Index Patterns
2. 点击Create index pattern，输入packets-*作为索引模式名称
3. 选择timestamp作为时间字段（你的mapping里定义了这个日期类型字段）
4. 点击Create index pattern完成创建

步骤3：验证数据是否正确索引 #

• 可以用Elasticsearch命令GET packets-*/_search查看是否有数据写入
• 在Kibana的Discover页面选择刚创建的索引模式，就能看到解析后的网络包数据了

如果之前上传的数据没被正确索引，大概率是这两个原因：

• 上传时的索引名称不匹配packets-*，导致没有套用模板的mapping
• 旧索引的mapping和新模板不一致，这种情况可以重新创建符合模式的索引，或者用_reindex把旧数据迁移到新索引里

内容的提问来源于stack exchange，提问作者Manuel Flores