[日志分析]Graylog2进阶之获取Nginx来源IP的地理位置信息

如果你们觉得graylog只是负责日志收集的一个管理工具，那就too young too naive 。日志收集只是graylog的最最基础的用法，graylog有很多实用的数据清洗和处理的进阶用法。

从这期开始我将陆续向大家介绍一些关于graylog的进阶用法，这次讲一下如何通过Geoip库莱获取nginx日志中来源IP的地理位置信息

• 获取来源IP的地理位置信息

（1）在导航栏System/Configurations -> Geo-Location Processor ，点击update按钮

（2）点击 Enable Geo-Location processor 复选框，并将文件路径填到 Path to the MaxMind database文本框中

（3）执行脚本，下载MaxMind 的geoip库到graylog服务器

#!/bin/bash

cd /etc/graylog/server/ &&\
wget http://geolite.maxmind.com/download/geoip/database/GeoLite2-City.mmdb.gz &&\
gunzip GeoLite2-City.mmdb.gz

test -f /etc/graylog/server/GeoLite2-City.mmdb &&\
service graylog-server restart

（4）点击导航栏Search，查看nginx相关日志，你就可以发现graylog已经自动生成源remote_addr的地理位置信息了

（5）在Search中选择nginx日志，点击右侧的http_x_forwarded_for_geolocation字段，选择World Map，来源ip地址分布图就生成了

（6）在右侧点击Add to dashboard 加入到看板，方便查阅。