这里使用的版本为graylog4.2.10

1、一键安装graylog4.2.10，解压zip包，执行脚本就行

链接：https://pan.baidu.com/s/11U7GpBZ1B7PXR8pyWVcHNw?pwd=udln 
提取码：udln

2、通过rsyslog采集系统日志，具体操作参考前面文章

GrayLog日志平台的基本使用-收集系统日志-CSDN博客

3、下载需要的安装包

Releases · P3TERX/GeoLite.mmdb · GitHub

GitHub - xkill/graylog_4.1_ssh: Graylog SSH parser and display

4、配置

（1）上传GeoIP地址库文件

GeoLite2-City.mmdb上传到GrayLog服务器的/etc/graylog/server目录中

、

（2）启用GeoIP Resolver

system/configurations中最右下方Geo-Location Processor中 启用Geo-Location Processor

并在Message Processors Configuration中将GeoIP Resolver的顺序放在最下面 拖拽即可

（3）上传并安装graylog_4.1_ssh-main-content-pack

（4）、修改Pipeline SSH的extract_ssh_fields

rule "extract_ssh_fields"
when
     has_field("message")
then
    let msg = to_string($message.message);
    let msg2 = regex_replace("Invalid user", msg, "Invalid user by invalid user");
    let parsed = grok(pattern: "%{SSH}", value: msg2, only_named_captures: true);
    set_fields(parsed);
    rename_field("ssh_rip","remote_addr");
    rename_field("ssh_username","username");
end 

（5）、模拟公网IP测试SSH登录失败

这里由于我在内网服务器上操作，可以ifconfig ens192:1起虚拟IP进行模拟  

可以在SSH Dashboard的地图中看到效果

6、解决localhost显示问题

1、添加一个pipeline

2、创建Pipeline Rules

rule "Replace source with sending IP"
when  
  has_field("message")
then  
  set_field("source", to_string($message.gl2_remote_ip));
end

3、把pipeline应用到stream中

4、在stage0中应用rules规则

当匹配到pipeline中的规则中，就按规则中语法进行处理  

可以通过Throughput查看匹配到规则的吞吐量 

验证：