elk搭建

一、es
下载安装包可直接使用如下命令
wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.4.2.tar.gz
（在什么路径下使用这个命令就会将安装包装在哪个路径下）（wget + 资源url）
1.es安装步骤：
下载-解压-配置-启动-关闭
1.1.下载解压
[root@localhost ~]# su root1
[root1@localhost root]$ cd /home/root1/
[root1@localhost root1]$

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.4.2.tar.gz

[root1@localhost root1]$ tar -xvf elasticsearch-6.4.2.tar.gz
1.2.修改配置文件elasticsearch.yml
[root1@localhost root1]$cd elasticsearch-6.4.2

[root1@localhost elasticsearch-6.4.2]$ cd config
[root1@localhost config]$vi elasticsearch.yml
修改以下字段
network.host: 0.0.0.0
http.port:9200
（只需要将上面两项去掉#即可）
1.3.修改配置文件limits.conf
（问题1：操作系统安全检测配置影响）
（问题3：锁定内存失败）
su root
cd /etc/security/
cp limits.conf limits.conf.bak
vim limits.conf
(如图，解决问题1和3)

# elasticsearch config start
* soft nofile 65536
* hard nofile 131072
* soft nproc 2048
* hard nproc 4096
# elasticsearch config end

* soft memlock unlimited 
* hard memlock unlimited

1.4.修改配置文件sysctl.conf
（问题2：vm.max_map_count参数设置太小导致）
su root
cd /etc
cp sysctl.conf sysctl.conf.bak（备份配置文件）
vim sysctl.conf

# elasticsearch config start
vm.max_map_count=262144
# elasticsearch config end

使配置生效（使sysctl.conf的修改生效）
sysctl -p
（ -p 从指定的文件加载系统参数，如不指定即从/etc/sysctl.conf中加载）
1.5.启动es
cd /home/root1
[root1@localhost elasticsearch-4.2.1] ./bin/elasticsearch
(前台启动，确定配置无误后再后台启动)
前台启动，一关闭界面，启动的服务就会停止。
[root1@localhost elasticsearch-4.2.1] ./bin/elasticsearch -d（后台启动）
1.6.测试是否配置成功

执行curl http://192.168.207.97:9200
出现以下图，代表成功

curl http://192.168.207.97:9200 或curl ‘192.168.207.97:9200’

1.7.关闭es
ps -ef |grep elasticsearch
kill -9 11103
kill -9 PID
二、Logstash
1.下载解压
wget https://artifacts.elastic.co/downloads/logstash/logstash-6.5.4.tar.gz

步骤如下：
cd /usr/local
mkdir logstash
cd logstash
wget https://artifacts.elastic.co/downloads/logstash/logstash-6.1.3.tar.gz
tar -xvf logstash-6.1.3.tar.gz

Logstash的config里面的文件都不需要配置
只需要配置bin里面的文件

2.新建配置文件bin/*.conf
cd /usr/local/…/bin
vi test.conf
具体内容如下：
input {
file {
path => “/opt/application/applog/basesrv/otp-basesrv-api.log”
type => “base”
start_position => “beginning”
codec => “json”
}
file {
path => “/opt/application/applog/basesrv/otp-basesrv-api.error.log”
type => “base-error”
start_position => “beginning”
codec => “json”
}
}
output {
if [type] == “base”{
elasticsearch {
hosts => [“192.168.207.97:9200”]
index => “es-base-%{+YYYY.MM.dd}”
}
}
if [type] == “base-error”{
elasticsearch {
hosts => [“192.168.207.97:9200”]
index => “es-base-error-%{+YYYY.MM.dd}”
}
}
}

3.启动
cd /usr/local/…/bin
./logstash -f test.conf (后台启动，不kill进程就不会停止)
4.关闭
ps -ef|grep logstash
kill -9 PID

三、Kibana
1.下载解压
cd /usr/local/kibana/
mkdir kibana
cd kibana
wget https://artifacts.elastic.co/downloads/kibana/kibana-6.4.2-linux-x86_64.tar.gz
tar -xvf kibana-6.4.2-linux-x86_64.tar.gz
(通过elasticsearch原生api去查询不方便、不直观，所以需要查询工具kibana。)
2.配置kibana.yml
3.启动
4.后台启动
nohup bin/kibana &
或bin]$ ./kibana &
5.关闭
lsof -i:5601
kill -9 PID