Si asumimos que el nombre de la colección es ips y la propiedad "CustomField" siempre se representa como "X-FORWARDED-FROM THE_IP_ADDRESS" , la siguiente consulta agregada da el resultado deseado:

 db.ips.aggregate([{ $project:{ _id:{ $substr:["$CustomField", 17, -1] } }, },{ $project: { ip: {$split:["$_id", "."]} }, },{ $project: { ip: {$slice:["$ip", 3]} }, }, { $project: { ip: { $reduce: { input: "$ip", initialValue: "", in: { $concat : ["$$value", "$$this", "."] } } } } }, { $group:{ _id: "$ip", count:{$sum:1} } }, { $project: { _id:{$concat:["$_id", "0"]}, count: 1 } }])

Hace la siguiente agregación:

1. Toma la dirección IP de la cadena
2. Divide la cadena en matrices de 4 partes de la dirección IP
3. Elimina la última parte de la matriz.
4. Concatena elementos de matriz en una cadena
5. Los agrupa por dirección IP
6. Finalmente concatena "0" al campo _id como última parte de la dirección IP

Si la cadena X-FORWARDED-FROM se corrige para cada CustomField , entonces se puede resolver usando $substr .

 db.CollectionName.aggregate([ {$group:{ _id:"$CustomField", count:{$sum:1} } }, {$project:{ _id: { $substr: [ "$_id", 17, -1] }, count:1 } } ])

donde 17 significa empezar desde. esa es la longitud de la cadena X-FORWARDED-FROM

Actualizado:

 db.CollectionName.aggregate([ {$project:{ ip: {$concat: [{ $substr: [ "$CustomField", 17,8] },'.0']} } }, {$group:{ _id:"$ip", count:{$sum:1} } } ])

para MongoDB 3.4 puede usar

 db.CollectionName..aggregate([ {$project:{ ip:{ $split: [ { $substr: [ "$CustomField", 17,-1] }, "." ] }//ip: ["10","10","10","192"] } }, {$project:{ ip:{ $concat: [ { $arrayElemAt: [ "$ip", 0 ] }, " . ", { $arrayElemAt: [ "$ip", 1 ] }, ".", { $arrayElemAt: [ "$ip", 2 ] }, ".0" ] } }, }, {$group:{ _id:"$ip", count:{$sum:1} } } ])