本文介绍日志查询常见问题。

如何在查询时判断日志的来源机器

如果通过Logtail采集日志时,机器组类型为IP地址机器组,机器组中的机器通过内网IP区分。在查询时,可以通过hostname和自定义配置的工作IP来判断日志的来源机器。

例如,统计日志中不同hostname出现的次数。
说明 已配置__tag__:__hostname__的字段索引并开启统计功能。
* | select "__tag__:__hostname__" , count(1) as count group by "__tag__:__hostname__"

如何在日志数据中搜索IP地址?

在日志数据中搜索IP地址,支持完全匹配的方式查询。您可以直接在日志数据中直接搜索指定IP地址相关的日志信息,比如包含指定IP地址、过滤指定IP地址等。但是目前尚不支持部分匹配的方式检索,即不能直接搜索IP地址的一部分,因为小数点(.)不是日志服务默认的分词项。如果需要部分匹配,建议自行过滤,例如使用SDK先下载数据后,在代码里使用正则表达式或者用string.indexof等方法搜索。

例如执行如下查询语句,查询结果中仍会出现121.42.0网段地址。
not ip:121.42.0 not status:200 not 360jk not DNSPod-Monitor not status:302 not jiankongbao
        not 301 and status:403

如何完成双重条件查询?

需要使用两个条件查询日志时,只需同时输入两个语句即可。

例如,需要在Logstore中查询数据状态不是OK或者Unknown的日志。直接搜索not OK not Unknown即可得到符合条件的日志。

日志服务提供哪些渠道查询日志?

日志服务提供如下三种方式查询日志:

  1. 通过日志服务控制台查询。更多信息,请参见查询和分析日志
  2. 通过SDK查询。更多信息,请参见SDK
  3. 通过Restful API查询。更多信息,请参见GetLogs

通过SDK可正常查询,但进行SQL分析时出现执行超时或网络错误问题,如何解决?

该问题可能是因为您客户端的网络防火墙拦截了带SQL分析关键字的请求。

建议您将访问域名切换为HTTPS形式,以排查客户端网络防火墙问题。