logstash многострочный фильтр для Звездочка

Question

# проблемы конфигурации Logstash

Моя текущая файл_журнала выглядит следующим образом:

INFO - 2015-06-22 6:55:11 - \ п ******* ************************************************** ************************* \ n ********* XXXXXXXXXXXXXXXXXXXX 2015-06-22 06: 55: 11 \ n * ********* Часовой пояс: Стандартное тихоокеанское время или Америка/Лос-Анжелес \ n ***************************** ************************************************** *** \ n \ n \ nINFO - 2015-06-22 06:55:32 - Готовые модули разъемов для загрузки

На logstash я применил фильтр многострочный

multiline { 
     pattern => "%{LOGLEVEL}" 
     what => "next" 
     negate => true 
     } 

Я ожидал, что выход

1.

INFO - 2015-06-22 6:55:11 - \ п *** ************************************************** ***************************** \ n ********* XXXXXXXXXXXXXXXXXXXX 2015-06-22 06:55: 11 \ n ********** Часовой пояс: Стандартное тихоокеанское время или Америка/Los_Angeles \ n ************************* ************************************************** *******

2.

INFO - 2015-06-22 6:55:32 - Готовые модули загрузки разъем

Но я получаю результат как

1. INFO - 2015-06-22 06:55:11 -

2.

\ п ********************************** ************************************************ \ п ********* XXXXXXXXXXXXXXXXXXXXX 2015-06-22 06: 55: 11 \ п ********** часовой пояс Стандартное тихоокеанское время или Америка/Los_Angeles

3.

\ n ****************************************** ************************************* *** \ n \ n \ nINFO - 2015-06-22 06:55:32 - Готовые модули соединителей загрузки

Может ли кто-нибудь предложить, где я ошибаюсь в многострочном шаблоне?

Answer 1

В вашей конфигурации говорится: «Если строка не содержит LOGLEVEL, сохраните ее со следующей строкой».

Вам нужно «предыдущее», и «начинается с LOGLEVEL» не повредит.