索引时间问题

Kibana字段设置里面修改@timestamp的时间格式，然后会根据你浏览器的时区去更新索引里面的时间。然后kibana上显示的时区就调整过来了

用dsl语法，query lte timestamp utc时间即可。
"query":{"bool":{"must":[{"query_string":{"query":"*"}},{"range":{"time":{"gte":1507539069693,"lte":1507539969693,"format":"epoch_millis"}}}],"must_not":[]}}

logstash配置@timestamp为本地时区

参考：http://www.cnblogs.com/zhzhang/p/6837989.html
input {

    beats {

        port => "5043"

    }

}

filter {

    ruby {

        code => "event.set('timestamp', event.get('@timestamp').time.localtime + 8*60*60); event.set('@timestamp', event.get('timestamp'))"

    }

    mutate {

        remove_field => "offset"

        remove_field => "@version"

        remove_field => "input_type"

        remove_field => "beat"

        remove_field => "host"

        remove_field => "source"

        remove_field => "type"

        remove_field => "day"

        remove_field => "tags"

        remove_field => "timestamp"

    }

}

output {

    stdout {

        codec => rubydebug

    }

    file{

        codec => line {format => "%{message}"}

        path => "/home/logstash/elk/data/logstash/test.%{+YYYY-MM-dd}"

    }

}
 
 
 
这个是我的解决方法，亲测可行。但是前提是没有输出到es（这个应该没有问题），kibana显示更没有做。

关于这个问题，我描述的可能有点模糊，现在是我要实现统计“某一天”的日志数据的文档大小，是多少多少G这样的数据，但是找来找去只有在索引信息里才有文档的大小，就是一个像xxx-2017.09.09这样的索引，能统计出这样一个索引的文档大小，但是由于这个后缀日期是采用零时区的时间来生成的，所以这个索引里面的数据其实是北京时间9月9号8点到9月10 号8点的数据，所以我想修正索引后缀的日期（差8个小时），大家有什么办法吗？