<div dir="ltr">That&#39;s a great question--I have no idea if two parser entries mandate double parsing.  If you want to make sure that only your custom log {} statement will be used, you can use flags(final) in your log {} stanza to ensure that no messages will continue on to the other log statements.</div>

<div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, May 14, 2013 at 11:22 PM, Russell Fulton <span dir="ltr">&lt;<a href="mailto:r.fulton@auckland.ac.nz" target="_blank">r.fulton@auckland.ac.nz</a>&gt;</span> wrote:<br>

<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On 13/05/2013, at 3:58 PM, Martin Holste &lt;<a href="mailto:mcholste@gmail.com">mcholste@gmail.com</a>&gt; wrote:<br>


<br>
&gt; The issue is probably where the filter resides.  I use that filter (in fact, it&#39;s in an optional ELSA config right now) and it works, but you have to remember that ${.classifier.class} isn&#39;t set until after the patterndb parser is run, so the filter() statement has to be after parser(p_db);<br>


&gt;<br>
<br>
</div>I finally figured out what the issue was here.  It had to be something totally, idiotically simple and it was.<br>
<br>
Martin was on the right track with the order of filters relative to parser(p_db);<br>
<br>
What had happened was that I had originally the filter in a second log {} clause after one that contained the parser() entry so everything worked.  Martin introduce the elsa_syslog.conf include and I moved all my local mods into there so now the filter was in a log{} clause that did not have a parser() entry and was now before the one that had it.<br>


<br>
I won&#39;t tell how many hours careful elimination it took to track this down.<br>
<br>
For elsa users if you put new log{} clauses in the include file you must have a parse() entry in them if you want to do anything with the classifier results.<br>
<br>
Question:  Will having two parser() entries result in the log message being parsed twice?  My guess is that it will.<br>
<div class="HOEnZb"><div class="h5"><br>
R<br>
<br>
<br>
&gt; On Fri, May 10, 2013 at 11:51 PM, Evan Rempel &lt;<a href="mailto:erempel@uvic.ca">erempel@uvic.ca</a>&gt; wrote:<br>
&gt; Wait a second. Version 3.2.x ... really?<br>
&gt; That&#39;s quite old. There was a bug with the<br>
&gt; .classifier.X tags some time in the past, and it might have been in those old versions. Certainly version 3.3 would be recommended, and all of y work is done with 3.4.x<br>
&gt;<br>
&gt; My advice my be specific to version 3.4 :-(<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Evan Rempel <a href="tel:250.271.7691" value="+12502717691">250.271.7691</a><br>
&gt; University Systems, University of Victoria<br>
&gt;<br>
&gt; Evan Rempel &lt;<a href="mailto:erempel@uvic.ca">erempel@uvic.ca</a>&gt; wrote:<br>
&gt;<br>
&gt; This definitely works. I&#39;m using it right now.<br>
&gt;<br>
&gt; If it isn&#39;t working, then your pattern in the patterndb is not matching. We literally run millions of messages per hour through this exact filter ... I copied and pasted it from our pattern database.<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Evan Rempel   <a href="tel:250.271.7691" value="+12502717691">250.271.7691</a><br>
&gt; University Systems, University of Victoria<br>
&gt;<br>
&gt; Russell Fulton &lt;<a href="mailto:r.fulton@auckland.ac.nz">r.fulton@auckland.ac.nz</a>&gt; wrote:<br>
&gt;<br>
&gt;<br>
&gt; On 11/05/2013, at 2:26 PM, Evan Rempel &lt;<a href="mailto:erempel@uvic.ca">erempel@uvic.ca</a>&gt; wrote:<br>
&gt;<br>
&gt; &gt; Try this filter<br>
&gt; &gt;<br>
&gt; &gt;<br>
&gt; &gt; filter f_unknown {<br>
&gt; &gt;        tags(&quot;.classifier.unknown&quot;);<br>
&gt; &gt; };<br>
&gt; &gt;<br>
&gt;<br>
&gt; This always appears to return true.  I.e. this filter includes everything.  Negating it includes nothing.<br>
&gt;<br>
&gt; I have tried to install 3.2.5 as this is the last version that ELSA is confirmed to work with but that does not start:<br>
&gt;<br>
&gt; Starting syslog-ng<br>
&gt; /usr/local/syslog-ng/sbin/syslog-ng: error while loading shared libraries: libsyslog-ng.so.0: cannot open shared object file: No such file or directory<br>
&gt;<br>
&gt; So far as I can tell all the lib files are present and correct and in the same place as the previous version?<br>
&gt;<br>
&gt; I have syslog-ng installed in /usr/local/syslog-ng-&lt;version&gt; and a symlink /usr/local/syslog-ng pointing to the version to use.<br>
&gt;<br>
&gt; Russell<br>
&gt;<br>
&gt; ______________________________________________________________________________<br>
&gt; Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" target="_blank">https://lists.balabit.hu/mailman/listinfo/syslog-ng</a><br>
&gt; Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" target="_blank">http://www.balabit.com/support/documentation/?product=syslog-ng</a><br>
&gt; FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" target="_blank">http://www.balabit.com/wiki/syslog-ng-faq</a><br>
&gt;<br>
&gt; ______________________________________________________________________________<br>
&gt; Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" target="_blank">https://lists.balabit.hu/mailman/listinfo/syslog-ng</a><br>
&gt; Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" target="_blank">http://www.balabit.com/support/documentation/?product=syslog-ng</a><br>
&gt; FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" target="_blank">http://www.balabit.com/wiki/syslog-ng-faq</a><br>
&gt;<br>
&gt;<br>
&gt; ______________________________________________________________________________<br>
&gt; Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" target="_blank">https://lists.balabit.hu/mailman/listinfo/syslog-ng</a><br>
&gt; Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" target="_blank">http://www.balabit.com/support/documentation/?product=syslog-ng</a><br>
&gt; FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" target="_blank">http://www.balabit.com/wiki/syslog-ng-faq</a><br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; ______________________________________________________________________________<br>
&gt; Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" target="_blank">https://lists.balabit.hu/mailman/listinfo/syslog-ng</a><br>
&gt; Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" target="_blank">http://www.balabit.com/support/documentation/?product=syslog-ng</a><br>
&gt; FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" target="_blank">http://www.balabit.com/wiki/syslog-ng-faq</a><br>
&gt;<br>
<br>
</div></div><span class="HOEnZb"><font color="#888888">--<br>
You received this message because you are subscribed to the Google Groups &quot;enterprise-log-search-and-archive&quot; group.<br>
To unsubscribe from this group and stop receiving emails from it, send an email to <a href="mailto:enterprise-log-search-and-archive%2Bunsubscribe@googlegroups.com">enterprise-log-search-and-archive+unsubscribe@googlegroups.com</a>.<br>


For more options, visit <a href="https://groups.google.com/groups/opt_out" target="_blank">https://groups.google.com/groups/opt_out</a>.<br>
<br>
<br>
</font></span></blockquote></div><br></div>