Linux搭建ELK集中式日志解决方案

ELK是一组开源软件的简称，其包括Elasticsearch、Logstash 和 Kibana。ELK最近几年发展迅速，已经成为目前最流行的集中式日志解决方案。

Elasticsearch: 能对大容量的数据进行接近实时的存储，搜索和分析操作。 本项目中主要通过Elasticsearch存储所有获取的日志。

 Logstash： 数据收集引擎，它支持动态的的从各种数据源获取数据，并对数据进行过滤，分析，丰富，统一格式等操作，然后存储到用户指定的位置。 

Kibana： 数据分析与可视化平台，对Elasticsearch存储的数据进行可视化分析，通过表格的形式展现出来。 Filebeat: 轻量级的开源日志文件数据搜集器。通常在需要采集数据的客户端安装Filebeat,并指定目录与日志格式,Filebeat就能快速收集数据，并发送给logstash进行解析，或是直接发给Elasticsearch存储。 redis：NoSQL数据库(key-value)，也数据轻型消息队列，不仅可以对高并发日志进行削峰还可以对整个架构进行解耦

传统ELK的经典框架

单一的架构，logstash作为日志搜集器，从数据源采集数据，并对数据进行过滤，格式化处理，然后交由Elasticsearch存储，kibana对日志进行可视化处理。

新型ELK框架

Filebeats是一种轻量级的日志搜集器，其不占用系统资源，自出现之后，迅速更新了原有的elk架构。Filebeats将收集到的数据发送给Logstash解析过滤，在Filebeats与Logstash传输数据的过程中，为了安全性，可以通过ssl认证来加强安全性。之后将其发送到Elasticsearch存储，并由kibana可视化分析。

二、新型ELK搭建详细过程

实验环境：

下面是搭建过程中所需程序安装包：
https://pan.baidu.com/s/1w02WtUAqh9yX4TChyMLa5Q 密码：g0p9

1.客户端部署filebeat：

yum -y install filebeat

#查看配置文件所在位置
rpm -qc filebeat

2.修改配置文件使filebeat获取的日志进入redis：

注：此处演示获取spring cloud框架中eureka日志，其他程序日志都可相同方法获取

vim /etc/filebeat/filebeat.yml

#修改的内容有一家几个字段
enabled：true
paths：程序日志路径
output.redis：日志输出地方
                    hosts：redis所在服务器IP
                    port：redis端口
                    key：redis中的key

3.源码安装redis：

解压redis程序包：

tar zxf redis-3.2.9.tar.gz –C /usr/local/src

编译redis：

cd /usr/local/src/redis-3.2.9
make && make install
ln –s /usr/local/src/redis-3.2.9 /usr/local/redis

注：redis安装时有的缺少语言环境会出错，有的会出现奇奇怪怪的问题，只要复制Error到往上搜索下就能轻易解决，在此不多做解释

修改redis配置文件：

vim /usr/local/redis/redis.conf
#修改内容如下：
daemonize yes                           #开启后台运行
timeout 120                                #超时时间
bind 0.0.0.0                                #任何地址IP都可以登录redis
protected-mode no                     #关闭redis保护机制否则在没有密码校验情况下redis远程登录失败

注：此处是做演示，如果是线上部署elk建议开启持久化机制，保证数据不丢失

4.登录测试redis是否可以正常写入数据：

5.启动filebeat看看redis是否能接收到数据：

启动filebeat：

systemctl start filebeat

6.进入redis查看是否有数据：

#执行命令：
keys *                          #查看所有key，此操作为慢查询，若redis跑了大量线上业务请不要进行此操做
lrange eureka-log 0 -1 #查询key所有数据，若filebeat启动时间过长请勿进行此操作

7.安装jdk1.8：

解压jdk安装包并创建软连接：

tar zxf /usr/local/src/jdk-8u131-linux-x64.tar.gz –C /usr/local/
ln -s /usr/local/jdk1.8.0_91/ /usr/local/jdk

配置环境变量：

vim /etc/profile
#修改内容如下：
JAVA_HOME=/usr/local/jdk
export JRE_HOME=/usr/local/jdk/jre
export CLASSPATH=.:$JAVA_HOME/lib:$JRE_HOME/lib:$CLASSPATH
export PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME/bin

重新载入环境变量：

source /etc/profile

查看jdk是否安装成功：

java -version

8.安装Elasticsearch：

解压安装包并改名：

unzip elasticsearch-5.6.3.zip -d /usr/local/
mv /usr/local/ elasticsearch-5.6.3 /usr/local/elasticsearh

修改ES配置文件：

vim /usr/local/elasticsearch/config/elasticsearch.yml
#这里指定的是集群名称，需要修改为对应的，开启了自发现功能后，ES会按照此集群名称进行集群发现
cluster.name: my-application
node.name: node-1
#目录需要手动创建
path.data: /opt/elk/data
path.logs: /opt/elk/logs
#ES监听地址任意IP都可访问
network.host: 0.0.0.0
http.port: 9200
#若是集群，可在里面引号中添加，逗号隔开
discovery.zen.ping.unicast.hosts: [“192.168.3.205”]
# enable cors，保证_site类的插件可以访问es    
http.cors.enabled: true             #手动添加
http.cors.allow-origin: “*”         #手动添加
# Centos6不支持SecComp，而ES5.2.0默认bootstrap.system_call_filter为true进行检测，所以导致检测失败，失败后直接导致ES不能启动
bootstrap.memory_lock: false        #手动添加
bootstrap.system_call_filter: false     #手动添加

注：ES启动的时候回占用特别大的资源所以需要修改下系统参数,若不修改资源启动会异常退出

9.修改系统参数：

vim /etc/sysctl.conf
#添加参数
vm.max_map_count=655360

重新载入配置：

sysctl –p

10.修改资源参数：

vim /etc/security/limits.conf
#修改
*   soft    nofile  65536
*   hard        nofile  131072  
*   soft        nproc   65536
*   hard        nproc   131072

如：

11.设置用户资源参数：

vim /etc/security/limits.d/20-nproc.conf
#添加
elk     soft    nproc       65536

12.创建用户并赋权：

useradd elk
groupadd elk
useradd elk -g elk

13.创建数据和日志目录并修改目录权限：

mkdir –pv /opt/elk/{data,logs}
chown –R elk:elk /opt/elk
chown –R elk:elk /usr/local/elasticsearch

14.切换用户并后台启动ES：(elk用户修改了资源参数，如不切位elk用户启动会暴毙)

su elk
nohup /opt/app/elasticsearch-5.6.3/bin/elasticsearch >> /dev/null 2>&1 &

15.查看ES状况：

方法一、
curl 'http://[ES IP]:9200/_search?pretty'

方法二、
#网页访问：
http://[ES IP]:9200/_search?pretty

16.安装logstash：

解压并创建软连接：

tar /usr/local/src/logstash-5.3.1.tar.gz –C /usr/local/
ln –s /usr/local/logstash-5.3.1 /usr/local/logstash

测试logstash是否可用：

/usr/local/logstash/bin/logstash -e 'input { stdin { } } output { stdout {} }'

在此创建主配文件进行测试：

vim /usr/local/logstash/config/logstash-simple.conf
#内容如下：
input { stdin { } }
output {
    stdout { codec=> rubydebug }
}

使用logstash参数-f读取配置文件进行测试：

/usr/local/logstash/bin/logstash -f /usr/local/logstash/config/logstash-simple.conf

此时说明我们的logstash是完全没有问题了，可以进行日志收集了

17.创建配置文件获取redis日志的数据：

配置文件如下：

vim /usr/local/logstash/config/redis-spring.conf 
input {
  redis {
    port => "6379"
    host => "192.168.3.205"
    data_type => "list"
    type => "log"
    key => "eureka-log"
  }
}
output {
  elasticsearch {
     hosts => "192.168.3.205:9200"
     index => "logstash1-%{+YYYY.MM.dd}"
  }
}

通过配置文件启动服务查看效果：

/usr/local/logstash/bin/logstash -f /usr/local/logstash/config/redis-spring.conf

结果如下：

此时我们再去查看reids中key：（此时已经没有数据了，数据已经被logstash取完）

18.使用curl 查看ES是否接受到数据

curl http://192.168.3.205:9200/_search?pretty

结果如下：

此时说明我们logstash从redis中取数据，在把数据推到ES中是ok的！

19.安装ES插件：（elasticsearch-head）

注：head安装需要从国外网站拉去东西，可能网速过慢导致安装失败（可以多试几次），下面有几种方法安装：

方法一、
导入node-v8.2.1.tar.gz phantomjs-2.1.1-linux-x86_64.tar.bz2 安装包
安装node：
tar zxvf node-v8.2.1.tar.gz
cd node-v8.2.1/
./configure && make && make install 
安装phantomjs：
tar jxvf phantomjs-2.1.1-linux-x86_64.tar.bz2
cd phantomjs-2.1.1-linux-x86_64/bin/
cp phantomjs /usr/local/bin/
导入es-head程序包并解压：
unzip master.zip –d /usr/local/
cd elasticsearch-head/
npm install
npm run start &
查看端口状态：（端口默认9100）
netstat –anpt | grep 9100
方法二、
git clone git://github.com/mobz/elasticsearch-head.git
cd elasticsearch-head
npm install
npm run start
netstat –anpt | grep 9100
方法三、
拉镜像：
docker push mobz/elasticsearch-head:5
启动镜像：
docker run -p 9100:9100 mobz/elasticsearch-head:5
web访问测试：
http://IP:9100

20.Elasticsearch-head安装成功Web访问结果如下：

查看刚刚从logstash推到ES中的数据：

21.安装kibana

解压并安装kibana：

tar -zxvf /usr/local/src/kibana-5.3.1-linux-x86_64.tar.gz -C /usr/local/

修改kibana配置文件：

vim /usr/local/kibana-5.3.1-linux-x86_64/config/kibana.yml

修改内容如下：

server.port: 5601                                                            #开启默认端口5601
server.host: “192.168.3.205”                                    #kibana站点IP
elasticsearch.url: http://192.168.3.205:9200        #只想ES服务所在IP Port
kibana.index: “.kibana”

后台启动kibana：

nohup /usr/local/kibana-5.3.1-linux-x86_64/bin/kibana >> /dev/null 2>&1 &

查看端口监听：

netstat –anot | grep 5601

结果如：（此结果表示kibana启动成功）

使用Web访问kibana：

http://[Kibana IP]:5601

初次访问结果如：（刚访问的时候没有创建索引所以没有看不到数据）

根据logstash配置文件中index设置索引：
首先查看logstash中的index：

Kibana中创建index：

下面按照1,2,3,4顺序进行设置：

此时我们在返回Discover在里面我们就可以看到数据了：

至此我们的ELK就安装OK了。