ELK企业内部日志分析系统

it2023-07-03 74

一、 elk:日志搜集平台

主要作用 —— 开发人员没有对服务器的访问权限，创用户给开发人员，看日志报错信息

1、组件介绍

（1）Elasticsearch：—— 只搜索和分析日志

ElasticSearch是一个基于Lucene的开源分布式搜索服务。只搜索和分析日志

特点：分布式（可以搭建集群），零配置，自动发现，索引自动分片，索引副本机制，多数据源等。它提供了一个分布式多用户能力的全文搜索引擎。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是第二流行的企业搜索引擎。设计用于云计算中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。在elasticsearch集群中，所有节点的数据是均等的。

索引：索引（库）-->类型（表）-->文档（记录）

（2）Logstash: —— 只收集和过滤日志,和改格式

Logstash是一个完全开源工具，可以对你的日志进行收集、过滤、分析，并将其存储，供以后使用（如，搜索），logstash带有一个web界面，搜索和展示所有日志。只收集和过滤日志,和改格式

简单来说logstash就是一根具备实时数据传输能力的管道，负责将数据信息从管道的输入端传输到管道的输出端；与此同时这根管道还可以让你根据自己的需求在中间加上滤网，Logstash提供很多功能强大的滤网以满足你的各种应用场景。

② Logstash的事件（logstash将数据流中的每一条数据称之为一个事件event）

处理流水线有三个主要角色完成：inputs –> filters –> outputs：

logstash整个工作流分为三个阶段：输入、过滤、输出。每个阶段都有强大的插件提供支持：

Input 必须，负责产生事件（Inputs generate events）,常用的插件有

file 从文件系统收集数据

syslog 从syslog日志收集数据

redis 从redis收集日志

beats 从beats family收集日志（如：Filebeats）

Filter过滤，负责数据处理与转换（filters modify them），常用的插件有

grok是logstash中最常用的日志解释和结构化插件。：grok是一种采用组合多个预定义的正则表达式，用来匹配分割文本并映射到关键字的工具。

mutate 支持事件的变换，例如重命名、移除、替换、修改等

drop 完全丢弃事件

clone 克隆事件

output 输出,必须，负责数据输出（outputs ship them elsewhere）,常用的插件有

elasticsearch 把数据输出到elasticsearch

file 把数据输出为普通的文件

（3）Kibana: —— 前端展示工具 —— 汇总、分析和搜索重要数据日志

Kibana 是一个基于浏览器页面的Elasticsearch前端展示工具，也是一个开源和免费的工具，Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮你汇总、分析和搜索重要数据日志。

二、实施部署

1、 Elasticsearch部署

A、安装配置jdk8

ES运行依赖jdk8 -----三台机器都操作，先上传jdk1.8

[root@mes-1 ~]# tar xzf jdk-8u191-linux-x64.tar.gz -C /usr/local/ [root@mes-1 ~]# cd /usr/local/ [root@mes-1 local]# mv jdk1.8.0_191/ java [root@mes-1 local]# vim /etc/profile JAVA_HOME=/usr/local/java PATH=$JAVA_HOME/bin:$PATH [root@mes-1 ~]# source /etc/profile [root@mes-1 local]# java -version

B、安装配置ES----只在第一台操作操作下面的部分

（1）创建运行ES的普通用户

[root@mes-1 ~]# useradd elsearch [root@mes-1 ~]# echo "123456" | passwd --stdin "elsearch"

（2）安装配置ES

[root@mes-1 ~]# tar xzf elasticsearch-6.5.4.tar.gz -C /usr/local/ [root@mes-1 ~]# cd /usr/l ocal/elasticsearch-6.5.4/config/ [root@mes-1 config]# ls elasticsearch.yml log4j2.properties roles.yml users_roles jvm.options role_mapping.yml users [root@mes-1 config]# cp elasticsearch.yml elasticsearch.yml.bak [root@mes-1 config]# vim elasticsearch.yml ----找个地方添加如下内容 cluster.name: elk node.name: elk01 node.master: true node.data: true path.data: /data/elasticsearch/data path.logs: /data/elasticsearch/logs bootstrap.memory_lock: false bootstrap.system_call_filter: false network.host: 0.0.0.0 http.port: 9200 #discovery.zen.ping.unicast.hosts: ["192.168.246.234", "192.168.246.231","192.168.246.235"] #discovery.zen.minimum_master_nodes: 2 #discovery.zen.ping_timeout: 150s #discovery.zen.fd.ping_retries: 10 #client.transport.ping_timeout: 60s http.cors.enabled: true http.cors.allow-origin: "*"

配置项含义：

cluster.name 集群名称，各节点配成相同的集群名称。 node.name 节点名称，各节点配置不同。 node.master 指示某个节点是否符合成为主节点的条件。 node.data 指示节点是否为数据节点。数据节点包含并管理索引的一部分。 path.data 数据存储目录。 path.logs 日志存储目录。 bootstrap.memory_lock 内存锁定，是否禁用交换。是否禁用交换分区 bootstrap.system_call_filter 系统调用过滤器。 network.host 绑定节点IP。 http.port 端口。 discovery.zen.ping.unicast.hosts 提供其他 Elasticsearch 服务节点的单点广播发现功能。 discovery.zen.minimum_master_nodes 集群中可工作的具有Master节点资格的最小数量，官方的推荐值是(N/2)+1，其中N是具有master资格的节点的数量。 discovery.zen.ping_timeout 节点在发现过程中的等待时间。 discovery.zen.fd.ping_retries 节点发现重试次数。 http.cors.enabled 是否允许跨源 REST 请求，用于允许head插件访问ES。 http.cors.allow-origin 允许的源地址。

（3）设置JVM堆大小

[root@mes-1 config]# vim jvm.options -Xms1g ----修改成 -Xms2g -Xmx1g ----修改成 -Xms2g

注意：确保堆内存最小值（Xms）与最大值（Xmx）的大小相同，防止程序在运行时改变堆内存大小。堆内存大小不要超过系统内存的50%

（4）创建ES数据及日志存储目录

[root@mes-1 ~]# mkdir -p /data/elasticsearch/data [root@mes-1 ~]# mkdir -p /data/elasticsearch/logs

[root@mes-1 ~]# chown -R elsearch:elsearch /data/elasticsearch [root@mes-1 ~]# chown -R elsearch:elsearch /usr/local/elasticsearch-6.5.4

C、系统优化

（1）增加最大文件打开数

永久生效方法： echo "* - nofile 65536" >> /etc/security/limits.conf

（2）增加最大进程数

[root@mes-1 ~]# vim /etc/security/limits.conf ---在文件最后面添加如下内容 * soft nofile 65536 * hard nofile 131072 * soft nproc 2048 * hard nproc 4096 更多的参数调整可以直接用这个解释： soft xxx : 代表警告的设定，可以超过这个设定值，但是超过后会有警告。 hard xxx : 代表严格的设定，不允许超过这个设定的值。 nofile : 是每个进程可以打开的文件数的限制 nproc : 是操作系统级别对每个用户创建的进程数的限制

（3）增加最大内存映射

[root@mes-1 ~]# vim /etc/sysctl.conf ---添加如下 vm.max_map_count=262144 vm.swappiness=0 [root@mes-1 ~]# sysctl -p 解释：在内存不足的情况下，使用交换空间。 [root@mes-1 ~]# sysctl -w vm.max_map_count=262144 增大用户使用内存的空间(临时)

D、启动ES

[root@mes-1 ~]# su - elsearch [root@mes-1 ~]$ cd /usr/local/elasticsearch-6.5.4/ [root@mes-1 elasticsearch-6.5.4]$ nohup ./bin/elasticsearch & #放后台启动 [1] 11462 nohup: ignoring input and appending output to ‘nohup.out’ [root@mes-1 elasticsearch-6.5.4]$ tail -f nohup.out #看一下是否启动或者: su - elsearch -c "cd /usr/local/elasticsearch-6.5.4 && nohup bin/elasticsearch &"

测试：浏览器访问http://10.8.162.30:9200

2.1 安装配置head监控插件（Web前端）----只需要安装一台就可以了。10.8.162.79

（1）安装node

[root@es-3-head-kib ~]# wget https://npm.taobao.org/mirrors/node/latest-v4.x/node-v4.4.7-linux-x64.tar.gz [root@es-3-head-kib ~]# tar -zxf node-v4.4.7-linux-x64.tar.gz –C /usr/local [root@es-3-head-kib ~]# vim /etc/profile #添加如下变量 NODE_HOME=/usr/local/node-v4.4.7-linux-x64 PATH=$NODE_HOME/bin:$PATH [root@es-3-head-kib ~]# source /etc/profile [root@es-3-head-kib ~]# node --version #检查node版本号 v4.4.7

（2）下载head插件

[root@es-3-head-kib ~]# wget https://github.com/mobz/elasticsearch-head/archive/master.zip [root@es-3-head-kib ~]# cp master.zip /usr/local/ [root@es-3-head-kib ~]# yum -y install unzip [root@es-3-head-kib ~]# cd /usr/local [root@es-3-head-kib ~]# unzip master.zip

（3）安装grunt

[root@es-3-head-kib ~]# cd elasticsearch-head-master/ [root@mes-3-head-kib elasticsearch-head-master]# npm install -g grunt-cli #时间会很长 [root@es-3-head-kib elasticsearch-head-master]# grunt --version #检查grunt版本号 grunt-cli v1.3.2

（4）修改head文件

（5）下载head必要的文件

[root@es-3-head-kib ~]# wget https://github.com/Medium/phantomjs/releases/download/v2.1.1/phantomjs-2.1.1-linux-x86_64.tar.bz2 [root@es-3-head-kib ~]# yum -y install bzip2 [root@es-3-head-kib ~]# tar -jxf phantomjs-2.1.1-linux-x86_64.tar.bz2 -C /tmp/ #解压

（6）运行head

[root@es-3-head-kib ~]# cd /usr/local/elasticsearch-head-master/ [root@es-3-head-kib ~]# npm config set registry https://registry.npm.taobao.org [root@es-3-head-kib elasticsearch-head-master]# npm install ... grunt-contrib-jasmine@1.0.3 node_modules/grunt-contrib-jasmine ├── sprintf-js@1.0.3 ├── lodash@2.4.2 ├── es5-shim@4.5.13 ├── chalk@1.1.3 (escape-string-regexp@1.0.5, supports-color@2.0.0, ansi-styles@2.2.1, strip-ansi@3.0.1, has-ansi@2.0.0) ├── jasmine-core@2.99.1 ├── rimraf@2.6.3 (glob@7.1.4) └── grunt-lib-phantomjs@1.1.0 (eventemitter2@0.4.14, semver@5.7.0, temporary@0.0.8, phan [root@es-3-head-kib elasticsearch-head-master]# nohup grunt server & [root@es-3-head-kib elasticsearch-head-master]# tail -f nohup.out Running "connect:server" (connect) task Waiting forever... Started connect web server on http://localhost:9100

（7）测试

2.2 Kibana部署 —— 与head在一台机器上部署 10.8.162.79

系统类型：Centos7.5 节点IP：10.8.162.79 软件版本：nginx-1.14.2、kibana-6.5.4-linux-x86_64.tar.gz

（1）安装 Kibana [root@es-3-head-kib ~]# tar zvxf kibana-6.5.4-linux-x86_64.tar.gz -C /usr/local/

（2）配置 kibana [root@es-3-head-kib ~]# cd /usr/local/kibana-6.5.4-linux-x86_64/config/ [root@es-3-head-kib config]# vim kibana.yml server.port: 5601 server.host: "10.8.162.79 kibana本机的地址 elasticsearch.url: "http://10.8.162.30 #ES主节点地址+端口 kibana.index: ".kibana"

配置项含义： server.port kibana 服务端口，默认5601 server.host kibana 主机IP地址，默认localhost elasticsearch.url 用来做查询的ES节点的URL，默认http://localhost:9200 kibana.index kibana在Elasticsearch中使用索引来存储保存的searches, visualizations和dashboards，默认.kibana

（3）启动 [root@es-3-head-kib config]# cd .. [root@es-3-head-kib kibana-6.5.4-linux-x86_64]# nohup ./bin/kibana & [1] 12054 [root@es-3-head-kib kibana-6.5.4-linux-x86_64]# nohup: ignoring input and appending output to ‘nohup.out’

2.3 安装配置Nginx反向代理 —— 与head、kibana在一台机器上部署 10.8.162.79

（1）安装：[root@es-3-head-kib ~]# yum install -y nginx

（2）配置反向代理

[root@es-3-head-kib ~]# cd /etc/nginx/conf.d/ [root@es-3-head-kib conf.d]# cp default.conf nginx.conf [root@es-3-head-kib conf.d]# mv default.conf default.conf.bak [root@es-3-head-kib conf.d]# vim nginx.conf server { listen 80; server_name 10.8.162.79; #charset koi8-r; # access_log /var/log/nginx/host.access.log main; # access_log off; location / { proxy_pass http://10.8.162.79:5601; proxy_set_header Host $host:5601; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header Via "nginx"; } location /status { stub_status on; #开启网站监控状态 access_log /var/log/nginx/kibana_status.log; #监控日志 auth_basic "NginxStatus"; } location /head/{ proxy_pass http://10.8.162.79:9100; proxy_set_header Host $host:9100; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header Via "nginx"; } }

（3）配置nginx

A 将原来的log_format注释掉，添加json格式的配置信息，如下： [root@es-3-head-kib conf.d]# vim /etc/nginx/nginx.conf log_format json '{"@timestamp":"$time_iso8601",' '"@version":"1",' '"client":"$remote_addr",' '"url":"$uri",' '"status":"$status",' '"domain":"$host",' '"host":"$server_addr",' '"size":$body_bytes_sent,' '"responsetime":$request_time,' '"referer": "$http_referer",' '"ua": "$http_user_agent"' '}'; B 引用定义的json格式的日志： access_log /var/log/nginx/access_json.log json;

（4）启动nginx

root@es-3-head-kib ~]# systemctl start nginx

浏览器访问http://10.8.162.79 刚开始没有任何数据，会提示你创建新的索引。选我自己解决

3、 Logstash部署 ---- 10.8.162.82

系统类型：Centos7.5 节点IP：10.8.162.82 软件版本：jdk-8u121-linux-x64.tar.gz、logstash-6.5.4.tar.gz

（1）安装配置Logstash

Logstash运行同样依赖jdk。

[root@es-2-zk-log ~]# tar -xvzf jdk-8u211-linux-x64.tar.gz -C /usr/local/ [root@es-2-zk-log ~]# cd /usr/local/ [root@es-2-zk-log ~]# mv jdk1.8.0_211/ java [root@es-2-zk-log ~]# vim /etc/profile [root@es-2-zk-log elk_packages]# tail -3 /etc/profile JAVA_HOME=/usr/local/java PATH=$JAVA_HOME/bin:$PATH

（1）安装

[root@es-2-zk-log ~]# tar xvzf logstash-6.5.4.tar.gz -C /usr/local/ 1.安装nginx: [root@es-2-zk-log ~]# yum install -y nginx 将原来的日志格式注释掉定义成json格式： [root@es-2-zk-log conf.d]# vim /etc/nginx/nginx.conf log_format json '{"@timestamp":"$time_iso8601",' '"@version":"1",' '"client":"$remote_addr",' '"url":"$uri",' '"status":"$status",' '"domain":"$host",' '"host":"$server_addr",' '"size":$body_bytes_sent,' '"responsetime":$request_time,' '"referer": "$http_referer",' '"ua": "$http_user_agent"' '}'; 2.引用定义的json格式的日志： access_log /var/log/nginx/access_json.log json; 3.启动 nginx [root@es-2-zk-log ~]# systemctl start nginx [root@es-2-zk-log ~]# systemctl enable nginx

（2）配置 —— 创建目录，我们将所有 input、filter、output 配置文件全部放到该目录中。

[root@es-2-zk-log ~]# mkdir -p /usr/local/logstash-6.5.4/etc/conf.d [root@es-2-zk-log ~]# cd /usr/local/logstash-6.5.4/etc/conf.d/

[root@es-2-zk-log conf.d]# vim nginx.conf

#---在下面添加 input { #让logstash可以读取特定的事件源。 file { #从文件读取 path => ["/var/log/nginx/access_json.log"] #要输入的文件路径 # code => "json" #定义编码，用什么格式输入和输出，由于日志就是json格式，这里不用再写

type => "shopweb" #定义一个类型，通用选项. 用于激活过滤器

} } output { #输出插件，将事件发送到特定目标 elasticsearch { #输出到es hosts => ["192.168.246.234:9200"] #指定es服务的ip加端口 index => ["%{type}-%{+YYYY.MM.dd}"] #引用input中的type名称，定义输出的格式 } }

（3）启动：

[root@es-2-zk-log conf.d]# cd /usr/local/logstash-6.5.4/ [root@es-2-zk-log logstash-6.5.4]# nohup bin/logstash -f etc/conf.d/ --config.reload.automatic &

ELK企业内部日志分析系统

一、 elk:日志搜集平台

1、组件介绍

（1）Elasticsearch：—— 只搜索和分析日志

（2）Logstash: —— 只收集和过滤日志,和改格式

（3）Kibana: —— 前端展示工具 —— 汇总、分析和搜索重要数据日志

二、实施部署

1、 Elasticsearch部署

A、安装配置jdk8

B、安装配置ES----只在第一台操作操作下面的部分

C、系统优化

D、启动ES

测试：浏览器访问http://10.8.162.30:9200

2.1 安装配置head监控插件（Web前端）----只需要安装一台就可以了。10.8.162.79

（1）安装node

（2）下载head插件

（3）安装grunt

（4）修改head文件

（5）下载head必要的文件

（6）运行head

（7）测试

2.2 Kibana部署 —— 与head在一台机器上部署 10.8.162.79

2.3 安装配置Nginx反向代理 —— 与head、kibana在一台机器上部署 10.8.162.79

（1）安装：[root@es-3-head-kib ~]# yum install -y nginx

（2）配置反向代理

（3）配置nginx

（4）启动nginx

浏览器访问http://10.8.162.79 刚开始没有任何数据，会提示你创建新的索引。选我自己解决

3、 Logstash部署 ---- 10.8.162.82

（1）安装配置Logstash

（1）安装

（2）配置 —— 创建目录，我们将所有 input、filter、output 配置文件全部放到该目录中。

（3）启动：

（4）查看日志出现:

（5）在浏览器中访问本机的nginx网站，产生日志

然后去 head 插件页面查看是否有 shopweb 索引出现

发现之后，去配置 kibana 添加索引

创建索引模式

可以根据某个特定的值，来查看记录，比如

多刷新几次本机的nginx页面，可以看到相应的日志记录

ELK企业内部日志分析系统

一、** elk:日志搜集平台 **

1、组件介绍

（1）Elasticsearch：—— 只搜索和分析日志

（2）Logstash: —— 只收集和过滤日志,和改格式

（3）Kibana: —— 前端展示工具 —— 汇总、分析和搜索重要数据日志

二、实施部署

1、 Elasticsearch部署

A、安装配置jdk8

B、安装配置ES----只在第一台操作操作下面的部分

C、系统优化

D、启动ES

测试：浏览器访问http://10.8.162.30:9200

2.1 安装配置head监控插件（Web前端）----只需要安装一台就可以了。10.8.162.79

（1）安装node

（2）下载head插件

（3）安装grunt

（4）修改head文件

（5）下载head必要的文件

（6）运行head

（7）测试

2.2 Kibana部署 —— 与head在一台机器上部署 10.8.162.79

2.3 安装配置Nginx反向代理 —— 与head、kibana在一台机器上部署 10.8.162.79

（1）安装：[root@es-3-head-kib ~]# yum install -y nginx

（2）配置反向代理

（3）配置nginx

（4）启动nginx

浏览器访问http://10.8.162.79 刚开始没有任何数据，会提示你创建新的索引。选我自己解决

3、 Logstash部署 ---- 10.8.162.82

（1）安装配置Logstash

（1）安装

（2）配置 —— 创建目录，我们将所有 input、filter、output 配置文件全部放到该目录中。

（3）启动：

（4）查看日志出现:

（5）在浏览器中访问本机的nginx网站 ，产生日志

然后去 head 插件页面查看是否有 shopweb 索引出现

发现之后，去配置 kibana 添加索引

创建索引模式

可以根据某个特定的值，来查看记录，比如

多刷新几次本机的nginx页面，可以看到相应的日志记录

一、 elk:日志搜集平台

（5）在浏览器中访问本机的nginx网站，产生日志