日志分析（Elastic Stack 5.0）系统搭建参考

今天药忘吃喽~ 2022-06-15 00:58 97阅读 0赞

日志主要包括系统日志、应用程序日志和安全日志。系统运维和开发人员可以通过日志了解服务器软硬件信息、检查配置过程中的错误及错误发生的原因。经常分析日志可以了解服务器的负荷，性能安全性，从而及时采取措施纠正错误。

通常，日志被分散的储存不同的设备上。如果你管理数十上百台服务器，你还在使用依次登录每台机器的传统方法查阅日志。这样是不是感觉很繁琐和效率低下。当务之急我们使用集中化的日志管理，例如：开源的syslog，将所有服务器上的日志收集汇总。

集中化管理日志后，日志的统计和检索又成为一件比较麻烦的事情，一般我们使用grep、awk和wc等Linux命令能实现检索和统计，但是对于要求更高的查询、排序和统计等要求和庞大的机器数量依然使用这样的方法难免有点力不从心。

开源实时日志分析ELK平台能够完美的解决我们上述的问题，ELK由ElasticSearch、Logstash和Kiabana三个开源工具组成。官方网站：[https://www.elastic.co/products][https_www.elastic.co_products]

*  Elasticsearch是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。
 *  Logstash是一个完全开源的工具，他可以对你的日志进行收集、过滤，并将其存储供以后使用（如，搜索）。
 *  Kibana 也是一个开源和免费的工具，它Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助您汇总、分析和搜索重要数据日志。

—————————-摘抄内容结束——————————-

画了一个ELK工作的原理图：

![123049_meyt_1434710.png][]

如图：Logstash收集AppServer产生的Log，并存放到ElasticSearch集群中，而Kibana则从ES集群中查询数据生成图表，再返回给Browser。

## ELK平台搭建 ##

#### 系统环境 ####

System: Centos release 6.7 (Final)

ElasticSearch: 2.1.0

Logstash: 2.1.1

Kibana: 4.3.0

Java: openjdk version  ”1.8.0\_65″

注：由于Logstash的运行依赖于Java环境， 而Logstash 1.5以上版本不低于java 1.7，因此推荐使用最新版本的Java。因为我们只需要Java的运行环境，所以可以只安装JRE，不过这里我依然使用JDK，请自行搜索安装。

ELK下载：[https://www.elastic.co/downloads/][https_www.elastic.co_downloads]

![123318_IHwC_1434710.png][]

#### ElasticSearch ####

配置ElasticSearch：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> </td> 
   <td style=""> <p style=""><code style="">tar -zxvf elasticsearch-</code><code style="">2.1</code><code style="">.</code><code style="">0</code><code style="">.tar.gz</code></p> <p style=""><code style="">cd elasticsearch-</code><code style="">2.1</code><code style="">.</code><code style="">0</code></p> </td> 
  </tr> 
 </tbody> 
</table>

安装Head插件（Optional）：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">./bin/plugin install mobz/elasticsearch-head</code></p> </td> 
  </tr> 
 </tbody> 
</table>

![123433_8VxM_1434710.png][]

然后编辑ES的配置文件：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">vi config/elasticsearch.yml</code></p> </td> 
  </tr> 
 </tbody> 
</table>

修改以下配置项：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> <p style="">3</p> <p style="">4</p> <p style="">5</p> <p style="">6</p> <p style="">7</p> </td> 
   <td style=""> <p style=""><code style="">cluster.name=es_cluster</code></p> <p style=""><code style="">node.name=node0</code></p> <p style=""><code style="">path.data=/tmp/elasticsearch/data</code></p> <p style=""><code style="">path.logs=/tmp/elasticsearch/logs</code></p> <p style=""><code style="">#当前hostname或IP，我这里是centos2</code></p> <p style=""><code style="">network.host=centos2</code></p> <p style=""><code style="">network.port=</code><code style="">9200</code></p> </td> 
  </tr> 
 </tbody> 
</table>

其他的选项保持默认，然后启动ES：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">./bin/elasticsearch</code></p> </td> 
  </tr> 
 </tbody> 
</table>

![123556_6dOb_1434710.png][]

可以看到，它跟其他的节点的传输端口为9300，接受HTTP请求的端口为9200。

使用ctrl+C停止。当然，也可以使用后台进程的方式启动ES：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">./bin/elasticsearch &amp;</code></p> </td> 
  </tr> 
 </tbody> 
</table>

然后可以打开页面localhost:9200，将会看到以下内容：

![123709_mUHy_1434710.png][]

返回展示了配置的cluster\_name和name，以及安装的ES的版本等信息。

刚刚安装的head插件，它是一个用浏览器跟ES集群交互的插件，可以查看集群状态、集群的doc内容、执行搜索和普通的Rest请求等。现在也可以使用它打开[localhost:9200/\_plugin/head][localhost_9200_plugin_head]页面来查看ES集群状态：

![124024_bnOW_1434710.png][]

可以看到，现在，ES集群中没有index，也没有type，因此这两条是空的。

#### Logstash ####

Logstash的功能如下：

![124206_UKKk_1434710.png][]

其实它就是一个收集器而已，我们需要为它指定Input和Output（当然Input和Output可以为多个）。由于我们需要把Java代码中Log4j的日志输出到ElasticSearch中，因此这里的Input就是Log4j，而Output就是ElasticSearch。

配置Logstash：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> </td> 
   <td style=""> <p style=""><code style="">tar -zxvf logstash-</code><code style="">2.1</code><code style="">.</code><code style="">1</code><code style="">.tar.gz</code></p> <p style=""><code style="">cd logstash-</code><code style="">2.1</code><code style="">.</code><code style="">1</code></p> </td> 
  </tr> 
 </tbody> 
</table>

编写配置文件(名字和位置可以随意，这里我放在config目录下，取名为log4j\_to\_es.conf)：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> </td> 
   <td style=""> <p style=""><code style="">mkdir config</code></p> <p style=""><code style="">vi config/log4j_to_es.conf</code></p> </td> 
  </tr> 
 </tbody> 
</table>

输入以下内容：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> <p style="">3</p> <p style="">4</p> <p style="">5</p> <p style="">6</p> <p style="">7</p> <p style="">8</p> <p style="">9</p> <p style="">10</p> <p style="">11</p> <p style="">12</p> <p style="">13</p> <p style="">14</p> <p style="">15</p> <p style="">16</p> <p style="">17</p> <p style="">18</p> <p style="">19</p> <p style="">20</p> <p style="">21</p> <p style="">22</p> <p style="">23</p> </td> 
   <td style=""> <p style=""><code style=""># For detail structure of&nbsp;</code><code style="">this</code>&nbsp;<code style="">file</code></p> <p style=""><code style=""># Set: https:</code><code style="">//www.elastic.co/guide/en/logstash/current/configuration-file-structure.html</code></p> <p style=""><code style="">input { </code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style=""># For detail config&nbsp;</code><code style="">for</code>&nbsp;<code style="">log4j as input,</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style=""># See: https:</code><code style="">//www.elastic.co/guide/en/logstash/current/plugins-inputs-log4j.html</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style="">log4j { </code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">mode =&gt;&nbsp;</code><code style="">"server"</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">host =&gt;&nbsp;</code><code style="">"centos2"</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">port =&gt;&nbsp;</code><code style="">4567</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style="">}</code></p> <p style=""><code style="">}</code></p> <p style=""><code style="">filter { </code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style="">#Only matched data are send to output.</code></p> <p style=""><code style="">}</code></p> <p style=""><code style="">output { </code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style=""># For detail config&nbsp;</code><code style="">for</code>&nbsp;<code style="">elasticsearch as output,</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style=""># See: https:</code><code style="">//www.elastic.co/guide/en/logstash/current/plugins-outputs-elasticsearch.html</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style="">elasticsearch { </code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">action =&gt;&nbsp;</code><code style="">"index"</code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<code style="">#The operation on ES</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">hosts&nbsp; =&gt;&nbsp;</code><code style="">"centos2:9200"</code>&nbsp;&nbsp;&nbsp;<code style="">#ElasticSearch host, can be array.</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">index&nbsp; =&gt;&nbsp;</code><code style="">"applog"</code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<code style="">#The index to write data to.</code></p> <p style=""><code style="">&nbsp;&nbsp;</code><code style="">}</code></p> <p style=""><code style="">}</code></p> </td> 
  </tr> 
 </tbody> 
</table>

logstash命令只有2个参数：

![124351_c5xc_1434710.png][]

因此使用agent来启动它（使用-f指定配置文件）：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">./bin/logstash agent -f config/log4j_to_es.conf</code></p> </td> 
  </tr> 
 </tbody> 
</table>

![124427_bwLM_1434710.png][]

到这里，我们已经可以使用Logstash来收集日志并保存到ES中了，下面来看看项目代码。

#### Java项目 ####

照例先看项目结构图：

![124604_vZcZ_1434710.png][]

pom.xml，很简单，只用到了Log4j库：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> <p style="">3</p> <p style="">4</p> <p style="">5</p> </td> 
   <td style=""> <p style=""><code style="">&lt;dependency&gt;</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">&lt;groupId&gt;log4j&lt;/groupId&gt;</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">&lt;artifactId&gt;log4j&lt;/artifactId&gt;</code></p> <p style=""><code style="">&nbsp;&nbsp;&nbsp;&nbsp;</code><code style="">&lt;version&gt;</code><code style="">1.2</code><code style="">.</code><code style="">17</code><code style="">&lt;/version&gt;</code></p> <p style=""><code style="">&lt;/dependency&gt;</code></p> </td> 
  </tr> 
 </tbody> 
</table>

log4j.properties，将Log4j的日志输出到SocketAppender，因为官网是这么说的：

![125003_gGXs_1434710.png][]

注意：这里的端口号需要跟Logstash监听的端口号一致，这里是4567。

Application.java，使用Log4j的LOGGER打印日志即可：

#### 用Head插件查看ES状态和内容 ####

运行Application.java，先看看console的输出（当然，这个输出只是为了做验证，不输出到console也可以的）：

![125311_sWzx_1434710.png][]

再来看看ES的head页面：

![125414_3JK6_1434710.png][]

切换到Browser标签：

![125433_AULZ_1434710.png][]

单击某一个文档（doc），则会展示该文档的所有信息：

![125446_mqmh_1434710.png][]

可以看到，除了基础的message字段是我们的日志内容，Logstash还为我们增加了许多字段。而在[https://www.elastic.co/guide/en/logstash/current/plugins-inputs-log4j.html][https_www.elastic.co_guide_en_logstash_current_plugins-inputs-log4j.html]中也明确说明了这一点：

![125504_NcYf_1434710.png][]

上面使用了ES的Head插件观察了ES集群的状态和数据，但这只是个简单的用于跟ES交互的页面而已，并不能生成报表或者图表什么的，接下来使用Kibana来执行搜索并生成图表。

#### Kibana ####

配置Kibana:

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> <p style="">3</p> </td> 
   <td style=""> <p style=""><code style="">tar -zxvf kibana-</code><code style="">4.3</code><code style="">.</code><code style="">0</code><code style="">-linux-x86.tar.gz</code></p> <p style=""><code style="">cd kibana-</code><code style="">4.3</code><code style="">.</code><code style="">0</code><code style="">-linux-x86</code></p> <p style=""><code style="">vi config/kibana.yml</code></p> </td> 
  </tr> 
 </tbody> 
</table>

修改以下几项（由于是单机版的，因此host的值也可以使用localhost来代替，这里仅仅作为演示）：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> <p style="">2</p> <p style="">3</p> <p style="">4</p> </td> 
   <td style=""> <p style=""><code style="">server.port:&nbsp;</code><code style="">5601</code></p> <p style=""><code style="">server.host: “centos2”</code></p> <p style=""><code style="">elasticsearch.url: http:</code><code style="">//centos2:9200</code></p> <p style=""><code style="">kibana.index: “.kibana”</code></p> </td> 
  </tr> 
 </tbody> 
</table>

启动kibana：

<table style=""> 
 <tbody style=""> 
  <tr style=""> 
   <td style=""> <p style="">1</p> </td> 
   <td style=""> <p style=""><code style="">./bin/kibana</code></p> </td> 
  </tr> 
 </tbody> 
</table>

![125828_PLcj_1434710.png][]

用浏览器打开该地址：

![125853_ABJt_1434710.png][]

为了后续使用Kibana，需要配置至少一个Index名字或者Pattern，它用于在分析时确定ES中的Index。这里我输入之前配置的Index名字applog，Kibana会自动加载该Index下doc的field，并自动选择合适的field用于图标中的时间字段：

![125922_L2FT_1434710.png][]

点击Create后，可以看到左侧增加了配置的Index名字：

![130003_bcKa_1434710.png][]

接下来切换到Discover标签上，注意右上角是查询的时间范围，如果没有查找到数据，那么你就可能需要调整这个时间范围了，这里我选择Today：

![130040_cA0j_1434710.png][]

接下来就能看到ES中的数据了：

![130130_3reO_1434710.png][]

执行搜索看看呢：

![130304_xbvj_1434710.png][]

点击右边的保存按钮，保存该查询为search\_all\_logs。接下来去Visualize页面，点击新建一个柱状图（Vertical Bar Chart），然后选择刚刚保存的查询search\_all\_logs，之后，Kibana将生成类似于下图的柱状图（只有10条日志，而且是在同一时间段的，比较丑，但足可以说明问题了：)  ）：

![130447_es2k_1434710.png][]

你可以在左边设置图形的各项参数，点击Apply Changes按钮，右边的图形将被更新。同理，其他类型的图形都可以实时更新。

点击右边的保存，保存此图，命名为search\_all\_logs\_visual。接下来切换到Dashboard页面：

![130543_elQl_1434710.png][]

单击新建按钮，选择刚刚保存的search\_all\_logs\_visual图形，面板上将展示该图：

![130607_vH1C_1434710.png][]

如果有较多数据，我们可以根据业务需求和关注点在Dashboard页面添加多个图表：柱形图，折线图，地图，饼图等等。当然，我们可以设置更新频率，让图表自动更新：

![130638_2jqP_1434710.png][]

如果设置的时间间隔够短，就很趋近于实时分析了。

到这里，ELK平台部署和基本的测试已完成。

[https_www.elastic.co_products]: https://www.elastic.co/products
[123049_meyt_1434710.png]: /images/20220615/61e9e8c05b5f4c619da6fbf1d3292ab8.png
[https_www.elastic.co_downloads]: https://www.elastic.co/downloads/
[123318_IHwC_1434710.png]: /images/20220615/51ea43771e00489a9af5581d145a8df6.png
[123433_8VxM_1434710.png]: /images/20220615/5f125fe349fb433983ce0971a92e2bd6.png
[123556_6dOb_1434710.png]: /images/20220615/91664b1d7e9648fc8f5c9b99986ef3b0.png
[123709_mUHy_1434710.png]: /images/20220615/5ff2c73aaba74aef89c5f01c7a057e77.png
[localhost_9200_plugin_head]: http://localhost:9200/_plugin/head
[124024_bnOW_1434710.png]: /images/20220615/bd6eca93ccc44f29bf0ec5c2d197181d.png
[124206_UKKk_1434710.png]: /images/20220615/18ef7fc569184e45838b72df54d5e2b5.png
[124351_c5xc_1434710.png]: /images/20220615/ab26f70fc7bb492aad868a496e38897b.png
[124427_bwLM_1434710.png]: /images/20220615/1fa438fff74e41038b97797c77d99eab.png
[124604_vZcZ_1434710.png]: /images/20220615/0816bc17a8a54038b2a6ae321d1db4e5.png
[125003_gGXs_1434710.png]: /images/20220615/8f7a1f4f6abc43aeb7ab0b9a1e4b2145.png
[125311_sWzx_1434710.png]: /images/20220615/4b0ad2e1985449b3b4641f7357abd8f6.png
[125414_3JK6_1434710.png]: /images/20220615/1de51c5b601242018305771853f0a930.png
[125433_AULZ_1434710.png]: /images/20220615/08905ff9287b414bae9e1e9489f97199.png
[125446_mqmh_1434710.png]: /images/20220615/c9b6f8b3c7b44f34aa6f34ead5a77d3e.png
[https_www.elastic.co_guide_en_logstash_current_plugins-inputs-log4j.html]: https://www.elastic.co/guide/en/logstash/current/plugins-inputs-log4j.html
[125504_NcYf_1434710.png]: /images/20220615/d39c09f7dc6e4735a9008139b0e11376.png
[125828_PLcj_1434710.png]: /images/20220615/ae9d9a9b7a544db9afdb68416f540733.png
[125853_ABJt_1434710.png]: /images/20220615/70c890bb4911423b8a6aa8595205bcce.png
[125922_L2FT_1434710.png]: /images/20220615/06d8337a7fa74be2a604d748d969659d.png
[130003_bcKa_1434710.png]: /images/20220615/1d594ce9980c4d448dca03cdb56e26ff.png
[130040_cA0j_1434710.png]: /images/20220615/2800c4f5a8574b59a9be4c89e8578de2.png
[130130_3reO_1434710.png]: /images/20220615/f2c4e33cea04440fad73f1c8a7af0531.png
[130304_xbvj_1434710.png]: /images/20220615/e0e9bb0a29c24ddd9df8f63353f43427.png
[130447_es2k_1434710.png]: /images/20220615/b18c851c7349453e95b1d35cce6e6fc5.png
[130543_elQl_1434710.png]: /images/20220615/be20faeff9be45b0a8ca8d86363a6b6f.png
[130607_vH1C_1434710.png]: /images/20220615/d90c59f74ca24bf8bd909b94f85c1b36.png
[130638_2jqP_1434710.png]: /images/20220615/195d19db340144238428b823b6a9af95.png