如何在 awk 中解析多行日志文件并仅输出带有最后一个已知 IP 地址的单行

Question 1

您可以扩展正则表达式字段分隔符以包含]和，'然后您将在字段 5 和 9 中清晰地获得名称和 IP。您可以将它们保存在由名称索引的关联数组中，并保存最后一个 IP 地址。在文件末尾打印此数组。

awk 'BEGIN { FS = "[?!([ )\\]'\'']+" }
/alice|bob/ && /from=/ { 
    user = $5; ip = $9;
    userip[user] = ip
}
END{ for(user in userip)print user,userip[user] }'

Answer

您可以扩展正则表达式字段分隔符以包含]和，'然后您将在字段 5 和 9 中清晰地获得名称和 IP。您可以将它们保存在由名称索引的关联数组中，并保存最后一个 IP 地址。在文件末尾打印此数组。

awk 'BEGIN { FS = "[?!([ )\\]'\'']+" }
/alice|bob/ && /from=/ { 
    user = $5; ip = $9;
    userip[user] = ip
}
END{ for(user in userip)print user,userip[user] }'

Question 2

你好，非常感谢你给出的示例建议。这个方法很好用。但我还是想知道，如果反转处理并从文件末尾开始读取，是不是更好。因为在这种情况下，如果要读取的日志文件有数千行，则会消耗大量的处理能力。我猜，从性能角度来看，从尾部开始读取并在每个用户第一次匹配后停止会更有效。

另一方面，我想知道是否可以将我的整个项目作为一行程序包含到 awk 中。

目标是每分钟运行一次 cron 作业并读取日志文件。如果 IP 地址发生变化且比上次已知的 IP 地址更新，并且 IP 子网不在子网 C（LAN）内，则应发送电子邮件通知。

/etc/cron.d/access-audit.log

*/1 * * * * root nice -n5 /usr/bin/awk 'BEGIN { FS = "[?!([ )\]'\'']+" } /alice|bob/ && /from=/ { user = $5; ip = $9; userip[user] = ip } END{ for(user in userip)print user,userip[user] }' | ...

我不知道该怎么做。我是否需要修改一个标志文件，在其中存储每个用户的当前 IP 地址，然后以某种方式查询该文件？是否可以在 awk 中完成所有操作？

Answer

你好，非常感谢你给出的示例建议。这个方法很好用。但我还是想知道，如果反转处理并从文件末尾开始读取，是不是更好。因为在这种情况下，如果要读取的日志文件有数千行，则会消耗大量的处理能力。我猜，从性能角度来看，从尾部开始读取并在每个用户第一次匹配后停止会更有效。

另一方面，我想知道是否可以将我的整个项目作为一行程序包含到 awk 中。

目标是每分钟运行一次 cron 作业并读取日志文件。如果 IP 地址发生变化且比上次已知的 IP 地址更新，并且 IP 子网不在子网 C（LAN）内，则应发送电子邮件通知。

/etc/cron.d/access-audit.log

*/1 * * * * root nice -n5 /usr/bin/awk 'BEGIN { FS = "[?!([ )\]'\'']+" } /alice|bob/ && /from=/ { user = $5; ip = $9; userip[user] = ip } END{ for(user in userip)print user,userip[user] }' | ...

我不知道该怎么做。我是否需要修改一个标志文件，在其中存储每个用户的当前 IP 地址，然后以某种方式查询该文件？是否可以在 awk 中完成所有操作？

如何在 awk 中解析多行日志文件并仅输出带有最后一个已知 IP 地址的单行

外观

目标

最终输出应如下所示

我迄今为止尝试过

我的 awk 命令目前是什么样子

输出 -->

答案1

答案2

/etc/cron.d/access-audit.log

相关内容