搭建流量分析工具elastiflow（基于elk）

一、*功能*

接收网络设备的netflow或sflow报文，对网络设备的数据进行分析，从而得到协议的流量排行、下载IP排行、通信对等信息。

二、*基础环境*

1、安装ELK和java

RHEL server 7，ELK 6.8.21

用rpm安装elasticsearch、logstash、kibana

下载地址：https://www.elastic.co/cn/downloads/past-releases#elasticsearch

rpm -ivh elasticserach-6.8.21.rpm

rpm -ivh logstash-6.8.21.rpm

rpm -ivh kibana-6.8.21-x86_64.rpm

安装java 1.8.0_171或以上（安装方法网上可找到）

2、kibana配置

编辑/etc/kibana/kibana.yml

server.port 5601
server.host: "192.168.11.105"
server.maxPayloadBytes: 8388608
elasticsearch.url: “http://192.168.11.105:9200”
i18n.locale: "zh-CN"

把kibana相关路径的权限修改

chown -R kibana:kibana /etc/kibana

chown -R kibana:kibana /usr/share/kibana

chown kibana:kibana /etc/default/kibana

启动kibana

systemctl enable kibana

systemctl start kibana

2、elasticsearch配置

编辑/etc/elasticsearch/elasticsearch.yml

node.name:net-pd-1
path.data:/data/elisticsearch/data
Path.logs:/data/elasticsearch/logs
bootstrap.memory_lock:true
network.host:192.168.11.105
http.port:9200

编辑/etc/elasticsearch/jvm.options，只改以下部分（大小为1/4 内存）

-Xms64g
-Xmx64g

编辑/usr/lib/systemd/system/elasticsearch.service（第一行下面添加第二行）

LimitFSIZE =infinity 
LimitMEMLOCK=infinity 

把elasticsearch相关路径的权限修改

chown -R elasticsearch:elasticsearch /etc/elasticsearch

chown -R elasticsearch:elasticsearch /usr/share/elasticsearch

chown -R elasticsearch:elasticsearch /data/elisticsearch/data

chown -R elasticsearch:elasticsearch /data/elisticsearch/logs

chown elasticsearch:elasticsearch /etc/sysconfig/elasticsearch

启动elasticsearch
systemctl daemon-reload

systemctl enable elasticsearch

systemctl start elasticsearch