ELK企业实战部署【超详细教程】

随笔3个月前发布 邓晴
45 0 0

一、ELK日志收集流程

官网:Elastic — The Search AI Company | Elastic

ELK由ElasticSearch(简称ES)、logsrach、kibana三个开源工具组成:

ELK企业实战部署【超详细教程】

二、组件介绍:

1、Elasticsearch:

ElasticSearch是一个基于Lucene的开源分布式搜索服务。只搜索和分析日志 特点:分布式,配置简洁,自动发现,索引自动分片,索引副本机制,多数据源等。在elasticsearch集群中,所有节点的数据是均等的。

2、Logstash:

Logstash是一个完全开源工具,可以对你的日志进行收集、过滤、分析,并将其存储供以后使用(如, 搜索),logstash带有一个web界面,搜索和展示所有日志。 只收集和过滤日志,和改格式

Logstash的事件(logstash将数据流中等每一条数据称之为一个事件)处理流水线有三个主要角色完 成:input –> filter –> output:

  • Input,负责产生事件,常用的插件有:

    • file 从文件系统收集数据

    • syslog 从syslog日志收集数据

    • redis 从redis收集日志

    • beats 从beats family收集日志(如:Filebeats)

  • Filter,负责数据处理与转换,常用的插件有

    • grok是logstash中最常用的日志解释和结构化插件。:grok是一种采用组合多个预定义的正则表达 式,用来匹配分割文本并映射到关键字的工具。
    • mutate 支持事件的变换,例如重命名、移除、替换、修改等
    • drop 完全丢弃事件
    • clone 克隆事件
  • output,负责数据输出,常用的插件有:

    • elasticsearch 把数据输出到elasticsearch
    • file 把数据输出为普通的文件
3、kibana:

Kibana 是一个基于浏览器页面的Elasticsearch前端展示工具,也是一个开源和免费的工具,Kibana可以 为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面,可以帮你汇总、分析和搜索重要数据日 志。

ELK企业实战部署【超详细教程】

三、实施部署:

配置介绍

安装软件 IP地址 系统配置
Elasticsearch 10.0.0.17 centos7.9–2G运行内存
logstash/zookeeper/kafka 10.0.0.18 centos7.9–2G运行内存
head/kibana 10.0.0.19 centos7.9–2G运行内存
1、Elasticeaech部署

系统类型:Centos7.9

节点IP:10.0.0.17

软件版本:jdk-8u191-linux-x64.tar.gz、elasticsearch-6.5.4.tar.gz

示例节点:10.0.0.17

1、按照配置jdk8

由java制作的ES运行时依赖jdk8 ,所以我三台机器都要按照jdk8

[root@mes-1 ~]# tar xzf jdk-8u211-linux-x64.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/
[root@mes-1 local]# mv jdk1.8.0_191/ java
[root@mes-1 local]# echo '
JAVA_HOME=/usr/local/java
PATH=$JAVA_HOME/bin:$PATH
export JAVA_HOME PATH
' >>/etc/profile
[root@mes-1 ~]# source /etc/profile
[root@mes-1 local]# java -version
java version "1.8.0_211"
Java(TM) SE Runtime Environment (build 1.8.0_211-b12)
Java HotSpot(TM) 64-Bit Server VM (build 25.211-b12, mixed mode)

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13

2、按照配置ES,只在按照了ES的机器10.0.0.17上面操作

(1)创建运行ES的普通用户

[root@mes-1 ~]# useradd elsearch
[root@mes-1 ~]# echo "****" | passwd --stdin "elsearch"

  • 1
  • 2

(2)安装配置ES

[root@mes-1 ~]# tar xzf elasticsearch-6.5.4.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/elasticsearch-6.5.4/config/
[root@mes-1 config]# ls
elasticsearch.yml log4j2.properties roles.yml users_roles
jvm.options role_mapping.yml users
[root@mes-1 config]# cp elasticsearch.yml elasticsearch.yml.bak
[root@mes-1 config]# vim elasticsearch.yml ----找个地方添加如下内容
cluster.name: elk
node.name: elk01
node.master: true
node.data: true
path.data: /data/elasticsearch/data
path.logs: /data/elasticsearch/logs
bootstrap.memory_lock: false
bootstrap.system_call_filter: false
network.host: 0.0.0.0
http.port: 9200
#discovery.zen.ping.unicast.hosts: ["192.168.246.234",
"192.168.246.231","192.168.246.235"]
#discovery.zen.minimum_master_nodes: 2
#discovery.zen.ping_timeout: 150s
#discovery.zen.fd.ping_retries: 10
#client.transport.ping_timeout: 60s
http.cors.enabled: true
http.cors.allow-origin: "*"

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25

配置项含义:

cluster.name 集群名称,各节点配成相同的集群名称。
node.name 节点名称,各节点配置不同。
node.master 指示某个节点是否符合成为主节点的条件。
node.data 指示节点是否为数据节点。数据节点包含并管理索引的一部分。
path.data 数据存储目录。
path.logs 日志存储目录。
bootstrap.memory_lock 内存锁定,是否禁用交换。
bootstrap.system_call_filter 系统调用过滤器。
network.host 绑定节点IP。
http.port 端口。
discovery.zen.ping.unicast.hosts 提供其他 Elasticsearch 服务节点的单点广播发现
功能。
discovery.zen.minimum_master_nodes 集群中可工作的具有Master节点资格的最小数量,官方
的推荐值是(N/2)+1,其中N是具有master资格的节点的数量。
discovery.zen.ping_timeout 节点在发现过程中的等待时间。
discovery.zen.fd.ping_retries 节点发现重试次数。
http.cors.enabled 是否允许跨源 REST 请求,用于允许head插件访问ES。
http.cors.allow-origin 允许的源地址。

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18

(3)设置JVM堆大小

[root@mes-1 config]# vim jvm.options ----将
-Xms1g ----修改成 -Xms2g
-Xmx1g ----修改成 -Xms2g
或者:
推荐设置为4G,请注意下面的说明:
sed -i 's/-Xms1g/-Xms4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options
sed -i 's/-Xmx1g/-Xmx4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

注意: 确保堆内存最小值(Xms)与最大值(Xmx)的大小相同,防止程序在运行时改变堆内存大小。 堆内存大小不要超过系统内存的50%

(4)创建ES数据及日志存储目录

[root@mes-1 ~]# mkdir -p /data/elasticsearch/data (/data/elasticsearch)
[root@mes-1 ~]# mkdir -p /data/elasticsearch/logs (/log/elasticsearch)

  • 1
  • 2
  • 3

(5)修改安装目录及存储目录权限

[root@mes-1 ~]# chown -R elsearch:elsearch /data/elasticsearch
[root@mes-1 ~]# chown -R elsearch:elsearch /usr/local/elasticsearch-6.5.4

  • 1
  • 2
  • 3

3、系统优化

(1)增加最大文件打开数

echo "* - nofile 65536" >> /etc/security/limits.conf

  • 1
  • 2

(2)增加最大进程数

[root@mes-1 ~]# vim /etc/security/limits.conf ---在文件最后面添加如下内容
* soft nofile 65535
* hard nofile 131072
* soft nproc 2048
* hard nproc 4096
更多的参数调整可以直接用这个
解释:
soft xxx : 代表警告的设定,可以超过这个设定值,但是超过后会有警告。
hard xxx : 代表严格的设定,不允许超过这个设定的值。
nofile : 是每个进程可以打开的文件数的限制
nproc : 是操作系统级别对每个用户创建的进程数的限制

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11

(3)增加最大内存映射数(调整使用交换分区的策略)

[root@mes-1 ~]# vim /etc/sysctl.conf ---添加如下
vm.max_map_count=262144
vm.swappiness=0
[root@mes-1 ~]# sysctl -p
解释:在内存不足的情况下,使用交换空间。
[root@mes-1 ~]# sysctl -w vm.max_map_count=262144
增大用户使用内存的空间(临时)

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

启动如果报下列错误

memory locking requested for elasticsearch process but memory is not locked
elasticsearch.yml文件
bootstrap.memory_lock : false
/etc/sysctl.conf文件
vm.swappiness=0
错误:
max file descriptors [4096] for elasticsearch process is too low, increase to
at least [65536]
意思是elasticsearch用户拥有的客串建文件描述的权限太低,知道需要65536个
解决:
切换到root用户下面,
vim /etc/security/limits.conf
在最后添加
* hard nofile 65536
* hard nofile 65536
重新启动elasticsearch,还是无效?
必须重新登录启动elasticsearch的账户才可以,例如我的账户名是elasticsearch,退出重新登
录。
另外*也可以换为启动elasticsearch的账户也可以,* 代表所有,其实比较不合适
启动还会遇到另外一个问题,就是
max virtual memory areas vm.max_map_count [65530] is too low, increase to at
least [262144]
意思是:elasticsearch用户拥有的内存权限太小了,至少需要262114。这个比较简单,也不需要重
启,直接执行
# sysctl -w vm.max_map_count=262144
就可以了

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26

4、启动ES

[root@mes-1 ~]# su - elsearch
Last login: Sat Aug 3 19:48:59 CST 2019 on pts/0
[root@mes-1 ~]$ cd /usr/local/elasticsearch-6.5.4/
[root@mes-1 elasticsearch-6.5.4]$ nohup ./bin/elasticsearch & #放后台启动
[1] 11462
nohup: ignoring input and appending output to ‘nohup.out’
[root@mes-1 elasticsearch-6.5.4]$ tail -f nohup.out #看一下是否启动
或者:
su - elsearch -c "cd /usr/local/elasticsearch-6.5.4 && nohup bin/elasticsearch
&"

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10

测试:浏览器访问http://10.0.0.17:9200

ELK企业实战部署【超详细教程】

5、head插件安装(可以在ES机器中安装,也可以到其他机器安装后续操作有一些不同)

前提: head插件是Nodejs实现的,所以需要先安装Nodejs。

5.1安装node.js

node.js官方下载地址:Node.js — Run JavaScript Everywhere (nodejs.org)

下载Linux64位:

[root@es-3-head-kib ~]# wget https://nodejs.org/dist/v14.17.6/node-v14.17.6-
linux-x64.tar.xz
[root@es-3-head-kib ~]# tar xf node-v14.17.6-linux-x64.tar.xz -C /usr/local/
[root@es-3-head-kib nodejs]# vim /etc/profile
# 添加 如下配置
NODE_HOME=/usr/local/node-v14.17.6-linux-x64
JAVA_HOME=/usr/local/java
PATH=$NODE_HOME/bin:$JAVA_HOME/bin:$PATH
export JAVA_HOME PATH
#由于我这里,ES也装在了此台机器上,所以环境变量这样配置;不能删除jdk的配置
[root@es-3-head-kib ~]# source /etc/profile
[root@es-3-head-kib ~]# node --version
v14.17.6
[root@es-3-head-kib ~]# npm -v
# npm 是随同NodeJS一起安装的包管理工具,能解决NodeJS代码部署上的很多问题。

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15

5.2 安装git

需要使用git方式下载head插件,下面安装git:

[root@es-3-head-kib local]# yum install -y git
[root@es-3-head-kib local]# git --version
git version 1.8.3.1

  • 1
  • 2
  • 3
  • 4

5.3 下载及安装head插件

[root@es-3-head-kib ~]# cd /usr/local/
[root@es-3-head-kib local]# git clone https://gitee.com/KelvinChan/elasticsearch-head.git
[root@es-3-head-kib local]# cd elasticsearch-head/
[root@es-3-head-kib elasticsearch-head]# npm install #注意:这里直接安装,可能会
失败,如果你的网络没问题,才能下载成功
#也可以将npm源设置为国内淘宝的,确保能下载成功
[root@es-3-head-kib elasticsearch-head]# npm config set registry http://registry.npmjs.org
[root@es-3-head-kib elasticsearch-head]# npm install #报错,不用管它

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8

进行安装前首先看你是在ES机器上安装head插件还是在另一台机器上安装!如果在ES上安装直接进行上面的操作就没问题,如果在其他机器上操作需要改下面两个文件。

/usr/local/elasticsearch-head/ Gruntfile.js

/usr/local/elasticsearch-head/_site/app.js #配置连接ES的ip和port

ELK企业实战部署【超详细教程】

如果安装在ES那台虚拟机中,需要修改以下几个配置:

[root@es-3-head-kib elasticsearch-head]# vim Gruntfile.js

  • 1

ELK企业实战部署【超详细教程】

[root@es-3-head-kib elasticsearch-head]# vim _site/app.js #配置连接es的ip和port

  • 1

ELK企业实战部署【超详细教程】

5.4 配置elasticsearch,允许head插件访问

[root@es-3-head-kib ~]# vim /usr/local/elasticsearch-6.5.4/config/elasticsearch.yml
在配置最后面,加2行

  • 1
  • 2

ELK企业实战部署【超详细教程】

5.5测试:

# 进入到head目录,执行npm run start
[root@es-3-head-kib ~]# cd /usr/local/elasticsearch-head/
[root@es elasticsearch-head]# nohup npm run start &

  • 1
  • 2
  • 3

访问有head插件的那台虚拟机http://10.0.0.19:9100 ,在内部输入ES的网址http://10.0.0.17:9200

ELK企业实战部署【超详细教程】

2、 Kibana部署

系统类型:Centos7.9

节点IP: 10.0.0.19

软件版本:nginx-1.14.2、kibana-6.5.4-linux-x86_64.tar.gz

1、安装配置kibana

(1)安装

[root@es-3-head-kib ~]# tar zvxf kibana-6.5.4-linux-x86_64.tar.gz -C
/usr/local/

  • 1
  • 2

(2)配置

[root@es-3-head-kib ~]# cd /usr/local/kibana-6.5.4-linux-x86_64/config/
[root@es-3-head-kib config]# vim kibana.yml
server.port: 5601
server.host: "192.168.246.235" #kibana本机的地址
elasticsearch.url: "http://192.168.246.234:9200" #ES主节点地址+端口
kibana.index: ".kibana"

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
# 配置项含义:
server.port kibana 服务端口,默认5601
server.host kibana 主机IP地址,默认localhost
elasticsearch.url 用来做查询的ES节点的URL,默认http://localhost:9200
kibana.index kibana在Elasticsearch中使用索引来存储保存的searches,
visualizations和dashboards,默认.kibana

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

其他配置项可参数:https://www.elastic.co/guide/en/kibana/6.5/settings.html

(3)启动

[root@es-3-head-kib config]# cd ..
[root@es-3-head-kib kibana-6.5.4-linux-x86_64]# nohup ./bin/kibana &
[1] 12054
[root@es-3-head-kib kibana-6.5.4-linux-x86_64]# nohup: ignoring input and
appending output to ‘nohup.out’

  • 1
  • 2
  • 3
  • 4
  • 5

2、安装配置nginx反向代理

(1)配置yum源:

# 配置nginx仓库
# vim /etc/yum.conf.d/nginx.conf
[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9

(2)安装nginx

yum  install  nginx  -y

  • 1

(3)配置反向代理

[root@es-3-head-kib ~]# cd /etc/nginx/conf.d/
[root@es-3-head-kib conf.d]# cp default.conf nginx.conf
[root@es-3-head-kib conf.d]# mv default.conf default.conf.bak
[root@es-3-head-kib conf.d]# vim nginx.conf

  • 1
  • 2
  • 3
  • 4
server {
listen 80;
server_name 192.168.246.235;
#charset koi8-r;
# access_log /var/log/nginx/host.access.log main;
# access_log off;
location / {
proxy_pass http://192.168.246.235:5601;
proxy_set_header Host $host:5601;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Via "nginx";
}
location /status {
stub_status on; #开启网站监控状态
access_log /var/log/nginx/kibana_status.log; #监控日志
auth_basic "NginxStatus"; }
location /head/{
proxy_pass http://192.168.246.235:9100;
proxy_set_header Host $host:9100;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Via "nginx";
}
}

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25

(4)配置nginx

1.将原来的log_format注释掉,添加json格式的配置信息,如下:
[root@es-3-head-kib conf.d]# vim /etc/nginx/nginx.conf
log_format json '{"@timestamp":"$time_iso8601",'
'"@version":"1",'
'"client":"$remote_addr",'
'"url":"$uri",'
'"status":"$status",'
'"domain":"$host",'
'"host":"$server_addr",'
'"size":$body_bytes_sent,'
'"responsetime":$request_time,'
'"referer": "$http_referer",'
'"ua": "$http_user_agent"'
'}';

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15

(5)启动nginx

systemctl  start   nginx

  • 1

浏览器访问http://192.168.246.235 刚开始没有任何数据,会提示你创建新的索引。

ELK企业实战部署【超详细教程】

3、Logstash部署

系统类型:Centos7.9

节点IP:10.0.0.18

软件版本:jdk-8u121-linux-x64.tar.gz、logstash-6.5.4.tar.gz

1.安装配置Logstash

Logstash运行同样依赖jdk,所以把jdk安装好。安装ES的时候,我们就已经安装好了

  • 1

(1)安装

[root@es-2-zk-log ~]# tar xvzf logstash-6.5.4.tar.gz -C /usr/local/

  • 1

(2)配置

# 创建目录,我们将所有input、filter、output配置文件全部放到该目录中。
mkdir -p /usr/local/logstash-6.5.4/etc/conf.d

  • 1
  • 2
# 先把nginx安装好,配置好日志格式,因为后面日志输出以json格式输出,方便我们查看。
yum  install  nginx  -y
将原来的日志格式注释掉定义成json格式:
[root@es-2-zk-log conf.d]# vim /etc/nginx/nginx.conf
log_format json '{"@timestamp":"$time_iso8601",'
'"@version":"1",'
'"client":"$remote_addr",'
'"url":"$uri",'
'"status":"$status",'
'"domain":"$host",'
'"host":"$server_addr",'
'"size":$body_bytes_sent,'
'"responsetime":$request_time,'
'"referer": "$http_referer",'
'"ua": "$http_user_agent"'
'}';
2.引用定义的json格式的日志:
access_log /var/log/nginx/access_json.log json;
# 重启nginx
[root@es-2-zk-log ~]# systemctl restart nginx
[root@es-2-zk-log ~]# systemctl enable nginx

浏览器多访问几次
[root@es-2-zk-log ~]# mkdir -p /usr/local/logstash-6.5.4/etc/conf.d
[root@es-2-zk-log ~]# cd /usr/local/logstash-6.5.4/etc/conf.d/
# 在input.conf 文件中添加以下内容
input {
  file {
    path => ["/var/log/nginx/access_json.log"] # 要输入的文件路径
    # code => "json" # 由于日志已经是 JSON 格式,这里不需要定义编码
    type => "shopweb" # 定义一个类型,用于激活过滤器
  }
}

# 在output.conf文件中添加
output {
  elasticsearch {
    hosts => ["192.168.246.234:9200"] # 指定 Elasticsearch 服务的 IP 地址和端口
    index => ["%{[type]}-%{+YYYY.MM.dd}"] # 引用 input 中的 type 字段,定义输出的索引格式
  }
}

启动:
[root@es-2-zk-log conf.d]# cd /usr/local/logstash-6.5.4/
[root@es-2-zk-log logstash-6.5.4]# nohup bin/logstash -f etc/conf.d/ --
config.reload.automatic &

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31
  • 32
  • 33
  • 34
  • 35
  • 36
  • 37
  • 38
  • 39
  • 40
  • 41
  • 42
  • 43
  • 44
  • 45
  • 46

onf.d/

在input.conf 文件中添加以下内容

input {
file {
path => [“/var/log/nginx/access_json.log”] # 要输入的文件路径
# code => “json” # 由于日志已经是 JSON 格式,这里不需要定义编码
type => “shopweb” # 定义一个类型,用于激活过滤器
}
}

在output.conf文件中添加

output {
elasticsearch {
hosts => [“192.168.246.234:9200”] # 指定 Elasticsearch 服务的 IP 地址和端口
index => [“%{[type]}-%{+YYYY.MM.dd}”] # 引用 input 中的 type 字段,定义输出的索引格式
}
}

启动:
[root@es-2-zk-log conf.d]# cd /usr/local/logstash-6.5.4/
[root@es-2-zk-log logstash-6.5.4]# nohup bin/logstash -f etc/conf.d/ –
config.reload.automatic &


  • 1
© 版权声明

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...