使用 Must 和 Must not 的 Elasticsearch 查询

Question

在 ES 查询中我有 IP 字段，现在我想排除一些 IP 的系列。 应排除的ip系列：192.168.0.0/16

这里正在尝试查询，但我遇到了错误。

 {
 "size": 0,
 "query": {
  "bool": {
  "filter": [
    {
          "match_all": {
            
          }
        },
    {
      "range": {
        "timestamp": {
          "gte": "now-1y",
          "lte": "now",
          "format": "epoch_millis"
        }
      }
    }
  ],
  "must_not": {
   "match":{
     "ip_address":"192.168*"
   }
  }
 }
 }
 }

错误： 未能创建查询：'192.168*' 不是 IP 字符串文字

还有什么方法可以排除这个IP系列？

Answer 1

您可以使用范围查询来排除IP地址在192.168.*范围内的所有文档

{
  "query": {
    "bool": {
      "filter": [
        {
          "match_all": {}
        },
        {
          "range": {
            "timestamp": {
              "gte": "now-1y",
              "lte": "now",
              "format": "epoch_millis"
            }
          }
        }
      ],
      "must_not": {
        "range": {
          "ip_addr": {
            "gte": "192.168.0.0",
            "lt": "192.168.255.255"
          }
        }
      }
    }
  }
}

更新 1：

您可以在 must_not 块内使用多个范围查询，以排除多个 IP 地址范围

{
  "query": {
    "bool": {
      "filter": [
        {
          "match_all": {}
        }
      ],
      "must_not": [
        {
          "range": {
            "ip_addr": {
              "gte": "192.168.0.0",
              "lt": "192.168.255.255"
            }
          }
        },
        {
          "range": {
            "ip_addr": {
              "gte": "10.0.0.0",
              "lt": "10.255.255.255"
            }
          }
        }
      ]
    }
  }
}