elk 日志入门笔记

1、调整elasticsearch的内存(elasticsearch 2.3.4)

修改bin目录下的elasticsearch.in.sh中的ES_MAX_MEM将其修改为512m

2、logstash配置从文件读取输出到gzip文件中

例子：从开始读取messages的文件压缩输出到/tmp目录中

input {
	file{
		path=>"/var/log/messages"
		start_position=>"beginning"
	}
}

output {
	file{
		path=>"/tmp/%{+YYYYMMddHHss}/%{+YYYY-MM-ddHHss}.gz"
		gzip=>true
	}
}