开源实时日志分析ELK平台部署

http://www.tuicool.com/articles/QFvARfr

开源实时日志分析ELK平台部署

版本：elasticsearch-2.3.2

             logstash-2.3.2

            kibana-4.5.0

日志主要包括系统日志、应用程序日志和安全日志。系统运维和开发人员可以通过日志了解服务器软硬件信息、检查配置过程中的错误及错误发生的原因。经常分析日志可以了解服务器的负荷，性能安全性，从而及时采取措施纠正错误。

通常，日志被分散的储存不同的设备上。如果你管理数十上百台服务器，你还在使用依次登录每台机器的传统方法查阅日志。这样是不是感觉很繁琐和效率低下。当务之急我们使用集中化的日志管理，例如：开源的  syslog ，将所有服务器上的日志收集汇总。

集中化管理日志后，日志的统计和检索又成为一件比较麻烦的事情，一般我们使用grep 、 awk 和 wc 等 Linux 命令能实现检索和统计，但是对于要求更高的查询、排序和统计等要求和庞大的机器数量依然使用这样的方法难免有点力不从心。

开源实时日志分析  ELK 平台能够完美的解决我们上述的问题， ELK 由ElasticSearch 、 Logstash 和 Kiabana 三个开源工具组成。官方网站：https://www.elastic.co/products

l   Elasticsearch 是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制， restful 风格接口，多数据源，自动搜索负载等。

l   Logstash 是一个完全开源的工具，他可以对你的日志进行收集、分析，并将其存储供以后使用（如，搜索）。

l   kibana 也是一个开源和免费的工具，他 Kibana 可以为 Logstash 和ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助您汇总、分析和搜索重要数据日志。

工作原理如下如所示：

在需要收集日志的所有服务上部署  logstash ，作为 logstash agent （ logstash shipper ）用于监控并过滤收集日志，将过滤后的内容发送到 logstash indexer ，logstash indexer 将日志收集在一起交给全文搜索服务 ElasticSearch ，可以用ElasticSearch 进行自定义搜索通过 Kibana 来结合自定义搜索进行页面展示。

开源实时日志分析ELK平台部署流程：

（  1 ）安装 Logstash 依赖包 JDK

Logstash 的运行依赖于 Java 运行环境， Logstash 1.5 以上版本不低于 java 7 推荐使用最新版本的 Java 。由于我们只是运行 Java 程序，而不是开发，下载 JRE 即可。首先，在 Oracle 官方下载新版 jre ，下载地址：http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html

可以看到提供了多种版本，下载时，选择适合自己机器运行环境的版本，我使用的是  RHEL6.5 x86_64 的操作系统，所以，下载 linux-64 的版本。如果使用 Linux 下载执行如下命令下载即可。

#wget http://download.oracle.com/otn-pub/java/jdk/8u45-b14/jdk-8u45-linux-x64.tar.gz

JDK 的安装方式比较简单，只需将下载回来的程序包解压到相应的目录即可。

        
            # mkdir /usr/local/java
        
        
            # tar -zxf jdk-8u45-linux-x64.tar.gz -C /usr/local/java/
        
    

设置  JDK 的环境变量，如下：

        
            # tail -3 ~/.bash_profile
        
export JAVA_HOME=/usr/local/java/jdk1.8.0_45
export PATH=$PATH:$JAVA_HOME/bin
exportCLASSPATH=.:$JAVA_HOME/lib/tools.jar:$JAVA_HOME/lib/dt.jar:$CLASSPATH

在  Shell 提示符中执行 java ?version 命令，显示如下结果，说明安装成功：

        
            # java -version
        
java version "1.8.0_45"
Java(TM) SE Runtime Environment (build 1.8.0_45-b14)
Java HotSpot(TM) 64-Bit Server VM (build 25.45-b02,mixed mode)

（  2 ）安装 Logstash

下载并安装  Logstash ，安装 logstash 只需将它解压的对应目录即可，例如：/usr/local 下：

        # 
        
            wget -t 100 
            https://download.elastic.co/logstash/logstash/logstash-2.3.2.tar.gz
        
        
# tar -xvzf logstash-1.5.2.tar.gz -C /usr/local/
    

安装完成后运行如下命令：

        
            # /usr/local/logstash-1.5.2/bin/logstash -e ‘input { stdin { } } output { stdout {} }‘
        
Logstash startup completed
Hello World!
2015-07-15T03:28:56.938Z noc.vfast.com Hello World!

我们可以看到，我们输入什么内容logstash按照某种格式输出，其中-e参数参数允许Logstash直接通过命令行接受设置。这点尤其快速的帮助我们反复的测试配置是否正确而不用写配置文件。使用CTRL-C命令可以退出之前运行的Logstash。

使用-e参数在命令行中指定配置是很常用的方式，不过如果需要配置更多设置则需要很长的内容。这种情况，我们首先创建一个简单的配置文件，并且指定logstash使用这个配置文件。   例如：在  logstash 安装目录下创建一个“基本配置”测试文件 logstash-test.conf， 文件内容如下：

        
            # cat logstash-simple.conf
        
input { stdin { } }
output {
   stdout { codec=> rubydebug }
}

Logstash 使用 input 和 output 定义收集日志时的输入和输出的相关配置，本例中input 定义了一个叫 "stdin" 的 input ， output 定义一个叫 "stdout" 的 output 。无论我们输入什么字符， Logstash 都会按照某种格式来返回我们输入的字符，其中 output被定义为 "stdout" 并使用了 codec 参数来指定 logstash 输出格式。

使用logstash的-f参数来读取配置文件，执行如下开始进行测试：

        
            # echo "`date`  hello World"
        
Thu Jul 1604:06:48 CST 2015 hello World
# /usr/local/logstash-1.5.2/bin/logstash agent -f logstash-simple.conf
Logstash startup completed
Tue Jul 1418:07:07 EDT 2015 hello World   #该行是执行echo “`date`hello World” 后输出的结果，直接粘贴到该位置
{
      "message" => "Tue Jul 14 18:07:07 EDT 2015 helloWorld",
     "@version" => "1",
   "@timestamp" => "2015-07-14T22:07:28.284Z",
         "host" => "noc.vfast.com"
}

（  3 ）安装 Elasticsearch

下载  Elasticsearch 后，解压到对应的目录就完成 Elasticsearch 的安装。

        
            # tar -zxf elasticsearch-1.6.0.tar.gz -C /usr/local/
        
    

启动  Elasticsearch

        
            # /usr/local/elasticsearch-1.6.0/bin/elasticsearch
        
    

如果使用远程连接的  Linux 的方式并想后台运行 elasticsearch 执行如下命令：

        
            # nohup /usr/local/elasticsearch-1.6.0/bin/elasticsearch >nohup &
        
    

运行后报错，所以重新运行命令

        
./elasticsearch -Des.insecure.allow.root=true > nohup &
    

确认  elasticsearch 的 9200 端口已监听，说明 elasticsearch 已成功运行

        
            # netstat -anp |grep :9200
        
tcp        00:::9200:::*LISTEN3362/java

启动elasticsearch后，发现只能在虚拟机上访问，在其他电脑上不能访问，解决办法是配置elasticsearch.yml的配置文件

然后重新启动elasticsearch：

./elasticsearch -Des.insecure.allow.root=true > nohup &

接下来我们在  logstash 安装目录下创建一个用于测试 logstash 使用 elasticsearch作为 logstash 的后端的测试文件 logstash-es-simple.conf，该文件中定义了stdout和elasticsearch作为output，这样的“多重输出”即保证输出结果显示到屏幕上，同时也输出到elastisearch中。

        
            # cat logstash-es-simple.conf
        
input { stdin { } }
output {
   elasticsearch {hosts => "node1" }
   stdout { codec=> rubydebug }
}

执行如下命令

        
            # /usr/local/logstash-1.5.2/bin/logstash agent -f logstash-es-simple.conf
        
… …
Logstash startup completed
hello logstash
{
      "message" => "hello logstash",
     "@version" => "1",
   "@timestamp" => "2015-07-15T18:12:00.450Z",
         "host" => "noc.vfast.com"
}

        ←[31mUnknown setting ‘host‘ for elasticsearch {:level=>:error}←[0m
Error: Something is wrong with your configuration.
You may be interested in the ‘--configtest‘ flag which you can
use to validate logstash‘s configuration before you choose
to restart a running system.
    

我们可以使用  curl 命令发送请求来查看 ES 是否接收到了数据：

        
            # curl ‘http://localhost:9200/_search?pretty‘
        
返回结果
{
  "took": 58,
 "timed_out" : false,
 "_shards" : {
   "total" : 5,
   "successful" : 5,
   "failed" : 0
  },
  "hits": {
   "total" : 1,
   "max_score" : 1.0,
   "hits" : [ {
     "_index" : "logstash-2015.07.15",
     "_type" : "logs",
     "_id" : "AU6TWiixxDXYhySMyTkP",
     "_score" : 1.0,
     "_source":{"message":"hellologstash","@version":"1","@timestamp":"2015-07-15T20:13:55.199Z","host":"noc.vfast.com"}
    } ]
  }
}

至此，你已经成功利用  Elasticsearch 和 Logstash 来收集日志数据了。

（  4 ）安装 elasticsearch 插件

Elasticsearch-kopf 插件可以查询 Elasticsearch 中的数据，安装 elasticsearch-kopf，只要在你安装 Elasticsearch 的目录中执行以下命令即可：

        
            # cd /usr/local/elasticsearch-1.6.0/
        
        
            # ./plugin -install lmenezes/elasticsearch-kopf
        
    

安装完成后在  plugins 目录下可以看到 kopf

        
            # ls plugins/
        
kopf

在浏览器访问   http://10.1.1.188:9200/_plugin/kopf   浏览保存在  Elasticsearch 中的数据，如下所示：

（  5 ）安装 Kibana

下载  kibana 后，解压到对应的目录就完成 kibana 的安装

        
            # tar -zxf kibana-4.1.1-linux-x64.tar.gz -C /usr/local/
        
    

启动  kibana

        
            # /usr/local/kibana-4.1.1-linux-x64/bin/kibana
        
    

        
#wget -t 100 https://www.elastic.co/downloads/kibana
    

        
            如果启动失败，则很有可能是下载的版本问题，我刚开始下载是64位的，启动后失败，然后我重新下载了32位的，则成功启动。启动后的界面如下：
        
    

使用   http://kibanaServerIP ： 5601  访问  Kibana ，登录后，首先，配置一个索引，默认， Kibana 的数据被指向 Elasticsearch ，使用默认的 logstash-* 的索引名称，并且是基于时间的，点击“ Create ”即可。

看到如下界面说明索引创建完成。

点击“  Discover ”，可以搜索和浏览 Elasticsearch 中的数据，默认搜索的是最近 15分钟的数据。可以自定义选择时间。

到此，说明你的  ELK 平台安装部署完成。

（  6 ）配置 logstash 作为 Indexer

将  logstash 配置为索引器，并将 logstash 的日志数据存储到 Elasticsearch ，本范例主要是索引本地系统日志。

        
            # cat /usr/local/logstash-1.5.2/logstash-indexer.conf
        
input {
  file {
    type =>"syslog"
     path => ["/var/log/messages", "/var/log/syslog" ]
  }
  syslog {
    type =>"syslog"
    port =>"5544"
  }
}
output {
  stdout { codec=> rubydebug }
  elasticsearch {host => "localhost" }
}
# /usr/local/logstash-1.5.2/bin/logstash -flogstash-indexer.conf

使用  echo 命令模拟写入日志，命令执行后看到如下图的信息

        
            # echo "`date` 优衣库视频" >>/var/log/messages
        
    

刷新  kibana ，发现最新的测试数据显示到浏览器中，如下图所示：

到此，  ELK 平台部署和基本的测试已完成。

原文：http://blog.csdn.net/hearain528/article/details/51280240