brutal_lobster

Причин может быть много - начиная с того, что в конфиге не указан output - elasticearch, заканчивая тем, что es не может распарсить какое-нибудь поле (timestamp, например).
Ну и неплохо бы убедится, что сислог доходит до сервера :)

В любом случае - необходимо сначала включить логирование logstash и elasticsearch и попытаться отладить фильтр с output stdout, например.

+ посмотрите на grokdebug.herokuapp.com

Насколько оправдан l2 по всем точкам? Переводите на l3 и маршрутизируйте как хотите.

Можно попробовать настроить l2vpn между асами (xconnect/pseudowire..) - а переключение осуществлять посредством STP. Но звучит это не очень

Телефония:
В каждом подразделении - отдельные сети для телефонов

10.10.0.0/24
10.11.0.0/24
10.12.0.0/24

На маршрутизаторах подразделений - маршрут из сети телефонии до АТС (через vpn-линк)
На асе - маршруты до сетей телефонии через нужные линки.
Доступ резрешен только между сетями телефонии и АТС + доступ к админке телефонов и АТС откуда нужно
Девайсы:
В каждом подразделении - отдельные сети для девайсов

10.20.0.0/24
10.21.0.0/24
10.22.0.0/24

На маршрутизаторах подразделений - маршрут из сети девайсов до девайс-роутера
На асе - маршруты до сетей девайсов через нужные линки и маршрут до девайс-роутера
На R3 - маршруты до сетей девайсов через асу
Далее - или договариваетесь с девайс-роутером - чтобы пропускал ваши сети - или настраиваете нат для сетей девайсов на R3
Доступ разрешен только между сетями девайсов и девайс-роутером (ну и админка)