Процессор GeoIP

*Зависит от того, что доступно в database_file:

Вот пример, использующий базу данных города по умолчанию и добавляющий географическую информацию в поле geoip на основе поля ip:

PUT _ingest/pipeline/geoip
{
  "description" : "Add geoip info",
  "processors" : [
    {
      "geoip" : {
        "field" : "ip"
      }
    }
  ]
}
PUT my-index-00001/_doc/my_id?pipeline=geoip
{
  "ip": "8.8.8.8"
}
GET my-index-00001/_doc/my_id

Что возвращает:

{
  "found": true,
  "_index": "my-index-00001",
  "_type": "_doc",
  "_id": "my_id",
  "_version": 1,
  "_seq_no": 55,
  "_primary_term": 1,
  "_source": {
    "ip": "8.8.8.8",
    "geoip": {
      "continent_name": "North America",
      "country_name": "United States",
      "country_iso_code": "US",
      "location": { "lat": 37.751, "lon": -97.822 }
    }
  }
}

Вот пример, использующий базу данных страны по умолчанию и добавляющий географическую информацию в поле geo на основе поля ip. Обратите внимание, что эта база данных включена в модуль. Таким образом:

PUT _ingest/pipeline/geoip
{
  "description" : "Add geoip info",
  "processors" : [
    {
      "geoip" : {
        "field" : "ip",
        "target_field" : "geo",
        "database_file" : "GeoLite2-Country.mmdb"
      }
    }
  ]
}
PUT my-index-00001/_doc/my_id?pipeline=geoip
{
  "ip": "8.8.8.8"
}
GET my-index-00001/_doc/my_id

возвращает это:

{
  "found": true,
  "_index": "my-index-00001",
  "_type": "_doc",
  "_id": "my_id",
  "_version": 1,
  "_seq_no": 65,
  "_primary_term": 1,
  "_source": {
    "ip": "8.8.8.8",
    "geo": {
      "continent_name": "North America",
      "country_name": "United States",
      "country_iso_code": "US"
    }
  }
}

Не все IP-адреса находят геоинформацию в базе данных. В таком случае, в документ не вставляется target_field.

Вот пример того, как будут индексироваться документы, когда информация для "80.231.5.0" не найдена:

PUT _ingest/pipeline/geoip
{
  "description" : "Add geoip info",
  "processors" : [
    {
      "geoip" : {
        "field" : "ip"
      }
    }
  ]
}

PUT my-index-00001/_doc/my_id?pipeline=geoip
{
  "ip": "80.231.5.0"
}

GET my-index-00001/_doc/my_id

Что возвращает:

{
  "_index" : "my-index-00001",
  "_type" : "_doc",
  "_id" : "my_id",
  "_version" : 1,
  "_seq_no" : 71,
  "_primary_term": 1,
  "found" : true,
  "_source" : {
    "ip" : "80.231.5.0"
  }
}

PUT my_ip_locations
{
  "mappings": {
    "properties": {
      "geoip": {
        "properties": {
          "location": { "type": "geo_point" }
        }
      }
    }
  }
}

Если вы не можете автоматически обновлять свои базы данных GeoIP2 с помощью конечной точки Elastic, у вас есть несколько других вариантов:

Использование прокси-конечной точки

Если вы не можете подключиться напрямую к конечной точке Elastic GeoIP, рассмотрите возможность настройки защищённого прокси-сервера. Затем вы можете указать URL прокси-конечной точки в настройке ingest.geoip.downloader.endpoint каждого файла узла elasticsearch.yml.

В строгой настройке может потребоваться добавить следующие домены в список разрешенных доменов:

Использование пользовательской конечной точки

Вы можете создать службу, которая имитирует конечную точку Elastic GeoIP. Затем вы можете получать автоматические обновления от этой службы.

Ручная обновление баз данных GeoIP2