今天早上登入graylog時出現了通知訊息

有新版

立馬進行更新

可是更新完出現几個問題

一個是 elasticsearch 的message出現暴量

導致graylog預設的Disk Journal (1G)也爆了 所以到config先調大為5G 等消化完再看看要不要調回來

第二個問題是forti的log几乎全部不見了 

這很奇怪

之前的几次更新並沒有出現這個問題

找了一下官方的blog看到從這一版開始直接支援fortiget的log

而且在少數出現的log裡也看到欄位被辨認出來
這個不錯 雖然很吃資源


























但卻只有出現少數几條log
畫面右上的 in/out message也一直有值
用tcpdump去捉封包也沒問題
看來應該是syslog4j有bug了

只能先試一下進forti改一下丟log的方式
先把log調到之前有開的tcp port
可是並沒有出現
於是再syslog上再開另一個udp port
再改一下forti的設定
終於可以了
先醬用吧