[geoip] Mauvaise résolution ip -> coordonnées

ArchibaldP1 2022-06-13 15:40:57 UTC #1

Bonjour,

Mes logs arrivent bien dans Kibana avec le champs source_ip. Le plugin Geoip est activé (par défaut ?) et j'ai bien des champs source_address_city_name, source_address_country_code et source_address_geolocation.

Mais le pays/ville/geolocation ne sont pas toujours bons :
- Pour une IP localisée à Nancy (ip fixe, fournisseur Free SAS) la localisation est données à Fontaines-Saint-Martin, FR: 45.8463,4.8545 (soit à 320km)
- Pour une IP localisée à Laxou (proche Nancy, fournisseur Adista), la localisation est données à Poligny, FR: 46.8405,5.7152 (soit à 300km)

Par contre, la geolocation semble correct à l'étranger :
- Pour une IP localisée New York (77.234.46.224, via VPN, fournisseur AVAST Software s.r.o.), la localisation est bien donnée à New York, US: 40.7425,-73.9877 (dans un parc ?)
- Pour une IP localisée à La Réunion, la localisation est correcte: -20.9347,55.2888 (dans l'eau du port :-) mais à moins d'1km, fournisseur SFR)
- Pour une IP localisée à Amsterdam, la localisation est correcte: 52.3795,4.8777 (encore un parc ;-), fournisseur Ziggo B.V.)
- Pour une IP localisée à Chicago, la localisation est correcte: 41.9215,-87.6446 (encore dans un parc :-), fournisseur RCN)

Dans tous les cas, j'ai le tag _geoip_lookup_failure.

Y'aurait-il un problème avec la base de données d'IP ? faut-il activer quelque chose de particulier dans la conf logstash ?

Merci d'avance pour votre retour

Gaston_Phone 2022-06-13 15:45:16 UTC #2

Bonjour @ArchibaldP1

J'utilise aussi le système GOIP fourni par OVH.

Il est vrai qu'il y a parfois certaines précisions et 300 km de différence est toujours possible.

Avant j'utilise le système fourni par Google et qui était tout aussi imprécis.

PierreD 2022-06-13 16:22:35 UTC #3

Bonjour @ArchibaldP1,

Merci pour l'intérêt que vous portez à Logs Data Platform.

Si vous n'avez pas besoin d'obtenir ces informations de géolocalisation dans vos archives à froid ou sur le flux temps réel, nous vous invitons à laisser passer simplement vos ips en respectant le suffixe _ip, tel que précisé ici: https://docs.ovh.com/fr/logs-data-platform/field-naming-conventions/

Cela permettra à nos collecteurs de rajouter les méta-données que vous recherchez mais sur une base de données plus fraîche que celle embarquée dans votre instance Logstash.

Dites nous si l'opération fonctionne.

Bien cordialement,

Pierre De Paepe pour Logs Data Platform

Propulsé par Discourse, le rendu est meilleur avec le JavaScript activé

OVHcloud Community

Bienvenue sur votre espace communautaire. Posez des questions, recherchez des informations, publiez du contenu et interagissez avec d’autres membres d'OVHcloud Community.