ELK+Filebeat+Kafka分布式日志管理平台搭建

---

ELK+Filebeat+Kafka分布式日志管理平台搭建

为什么选择ELK+Filebeat+Kafka？

在线上问题排查时，通过日志来定位是经常使用的手段之一。线上服务为了实现高可用往往采用多节点部署，又或者随着项目愈发复杂会考虑微服务架构，导致日志分散在不同的服务器上，排查问题就需要去多台服务器上查询日志，麻烦且低效。目前采用最多的日志服务的解决方案，是 使用 ELK 搭建的日志服务。

Logstash 是基于 JVM 的重量级的采集器，对系统的 CPU、内存、IO 等等资源占用非常高，这样可能影响服务器上的其它服务的运行。所以，Elastic NV 推出 Beats ，一个基于 Go 的轻量级采集器，对系统的 CPU、内存、IO 等等资源的占用基本可以忽略不计。因此，使用 Beats 采集数据，并通过网路传输给 Logstash，即 ELFK 架构。ELK+Filebeat 架构如下图所示：

随着 Beats 收集的每秒数据量越来越大，Logstash 可能无法承载这么大量日志的处理。虽然说，可以增加 Logstash 节点，提高每秒数据的处理速度，但是仍需考虑可能 Elasticsearch 无法承载这么大量的日志的写入。此时，可以考虑引入消息队列。Beats 收集数据，写入数据到消息队列中，Logstash 从消息队列中，读取数据，写入 Elasticsearch 中。ELK+Filebeat+Kafka 架构如下图所示：

Filebeat搭建

打开 Filebeat下载页面，选择想要的 Filebeat 版本。本文选择的是 Filebeat 8.6.2 版本。

第一步：解压 filebeat-8.6.2-linux-x86_64.tar.gz

tar -zxvf filebeat-8.6.2-linux-x86_64.tar.gz

第二步：修改配置文件 filebeat.yml，如下图所示：

第三步：执行以下命令启动 Filebeat：

nohup ./filebeat -e -c filebeat.yml &

Kafka搭建

打开 Zookeeper 下载页面，选择想要的 Zookeeper 版本。本文选择的是 Zookeeper 3.8.0 版本。

打开 Kafka 下载页面，选择想要的 Kafka 版本。本文选择的是 Kafka 3.4.0 版本。

第一步：解压 apache-zookeeper-3.8.0-bin.tar.gz

tar -zxvf apache-zookeeper-3.8.0-bin.tar.gz

第二步：创建 zkData 文件夹：

mkdir /data/ELK/zookeeper/apache-zookeeper-3.8.0-bin/zkData/

第三步：新建 zoo.cfg 文件：

cp zoo_sample.cfg zoo.cfg

第四步：修改 zoo.cfg 文件，如下图所示：

因为 zookeeper 默认需要使用 8080 端口，而 8080 端口往往会被占用，所以在配置文件中指定其他端口。

第五步：执行以下命令启动 zookeeper：

./zkServer.sh start

第六步：解压 kafka_2.12-3.4.0.tgz

tar -zxvf kafka_2.12-3.4.0.tgz 

第七步：创建日志存储目录：

mkdir /data/ELK/Kafka/kafka-logs/

第八步：修改 server.properties 文件，如下图所示：

因为 Kafka 默认的 9092 端口被占用，所以将端口改为 9093。

第九步：执行以下命令启动 Kafka：

nohup bin/kafka-server-start.sh config/server.properties &

第十步：执行以下命令创建 topic：

bin/kafka-topics.sh --bootstrap-server localhost:9092 
--create --topic logstash --partitions 1 --replication-factor 1 
--config retention.ms=15552000000 --config max.message.bytes=5242880

Elasticsearch搭建

打开 Elasticsearch 下载页面，选择想要的 Elasticsearch 版本。本文选择的是 Elasticsearch 8.6.2 版本。

第一步：解压 elasticsearch-8.6.2-linux-x86_64.tar.gz

tar -zxvf elasticsearch-8.6.2-linux-x86_64.tar.gz

第二步：在 root 权限下，修改 /etc/security/limits.conf ，配置以下内容：

* soft nofile 65535
* hard nofile 65535

修改完成后同时使用命令修改配置：

$ ulimit -n 65535

如果没有进行以上操作，启动时将会出现以下错误：

第三步：在 root 权限下，修改 /etc/sysctl.conf ，增加如下内容：

vm.max_map_count=655360

修改完成后，执行 sysctl -p 命令，使配置生效。

如果没有进行以上操作，启动时将会出现以下错误：

第四步：修改 elasticsearch.yml 配置文件，如下图所示：

因为搭建的 Elasticsearch 是 8.X 版本，需要关闭 security 安全相关的功能。如下图所示：

第五步：执行 ./elasticsearch -d 命令后台启动 Elasticsearch。

启动后，通过 curl 命令验证是否启动成功，如下图所示：

Logstash搭建

打开 Logstash 下载页面，选择想要的 Logstash 版本。本文选择的是 Logstash 8.6.2 版本。

第一步：解压 logstash-8.6.2-linux-x86_64.tar.gz

tar -zxvf logstash-8.6.2-linux-x86_64.tar.gz

第二步：新建 logstash.conf 文件：

cp logstash-sample.conf logstash.conf

logstash.conf 文件内容如下图所示：

在 Logstash 中，定义了一个 Logstash 管道（Logstash Pipeline），来读取、过滤、输出数据。一个 Logstash Pipeline 包含三部分，如下图所示：

【必选】 输入（Input）：数据（包含但不限于日志）往往都是以不同的形式、格式存储在不同的系统中，而 Logstash 支持从多种数据源中收集数据（File、Syslog、MySQL、消息中间件等等）。
【可选】 过滤器（Filter）：实时解析和转换数据，识别已命名的字段以构建结构，并将它们转换成通用格式。
【必选】 输出（Output） ：Elasticsearch 并非存储的唯一选择，Logstash 提供很多输出选择。

本文 Logstash 的 Input 的数据源为 Kafka，Output 为 Elasticsearch。

第三步：修改 logstash.conf 文件，如下所示：

input {
  kafka {
  		codec => "json"
        bootstrap_servers => "10.0.0.250:9093"
        group_id => "logstash_group"
        auto_offset_reset => "latest" 
        topics => ["test","logstash"]
      }
}

output {
  elasticsearch {
    hosts => ["http://10.0.0.250:9200"]
    index => "logstash-%{+YYYY.MM.dd}"
    #user => "elastic"
    #password => "changeme"
  }
}

第四步：执行以下命令后台启动 Logstash：

nohup bin/logstash -f config/logstash.conf &

启动 Logstash 前，需要先启动 logstash.conf 文件中配置的 Kafka。

Kibana搭建

打开 Kibana下载页面，选择想要的 Kibana版本。本文选择的是 Kibana 8.6.2 版本。

第一步：解压 kibana-8.6.2-linux-x86_64.tar.gz

tar -zxvf kibana-8.6.2-linux-x86_64.tar.gz

第二步：修改 kibana.yml 文件，如下所示：

第三步：执行以下命令，后台启动 Kibana：

nohup bin/kibana & 

第四步：浏览器访问 http://10.0.0.250:5601/，查看 Kibana 是否启动成功。

Kibana 界面与老版本的有所不同，点击上图中的 Dev Tools 可跳转到开发界面。