logstash filter geoip 转换IP为详细地址等内容。

"geoip": {
"city_name": "Ürümqi",
"continent_code": "AS",
"country_code2": "CN",
"country_code3": "CN",
"country_name": "China",
"dma_code": null,
"ip": "x.x.x.95",
"latitude": 43.801,
"longitude": 87.6005,
"postal_code": null,
"region_name": "Xinjiang",
"region_code": "65",
"timezone": "Asia/Urumqi",
"location": [
87.6005
,
43.801
]
}

filter{
geoip {
source => "userip"
database => "D:\elk\geoiplite2_city\GeoLite2-City.mmdb"
}
}

source 是IP字段

database 是使用的geolite2数据包，logstash默认自带的有一个包，但是是geolite的.dat包，geolite2是较新的格式。官网说明是只支持city城市包。

如果运行时报错，可以尝试更新geoip 插件后再试。

plugin update logstash-filter-geoip

geoip参数配置说明地址