Elk stack 无法收集交换机syslog 排障

背景来源：是给一个国外的客户解决elk stack 不能监控交换机（udp 514）这个端口，没有读取到syslog 问题进行复现测试 ;
 

1.  根据网上大佬给的方法进行安装elk stack ,安装链接可以参考这些大佬进行安装elk stack，
   
   ELK日志系统搭建完整详细步骤_elk做日志流程-CSDN博客
   ELK logstash-7.5收集交换机日志_交换机elk-CSDN博客
    
2. 根据上面链接进行安装，特别第一个链接安装是真得详细，安装之后，但是发现还是无法监控，这个时候可以根据这个链接进行排查下基本配置是否有问题：
   （大致排查思路，
   第一：先在linux 上抓包，看交换机上是否上送syslg 报文，并且要看报文 udp  目的 port 是否是514 ；
   第二：是需要看linux 上是否在监听 514端口，可以使用下面两个命令进行查看：
   lsof -i:514
   netstat -tunlp|grep java
   第三：如果上面都是正常监听，以及交换机上都可以正常，可以参考下面链接看看进行排障，我基本上配置问题从上面就可以进行排除，但是在kibana 还是无法监控，对于我一个新手小白完全不会操作这个软件，不太清楚怎么监控，最终尝试很久才正常监控上，下面是kibana 上的配置操作；
   ）
   
   ELK监控交换机日志 - sky_cheng - 博客园 (cnblogs.com)
3. 使用kibana 进行监控时，首先要启动logstash 的配置文件，启动成功，会出现如下图：
   
   如果启动发现成功，并且 port=>9601 ，这个说明你启动了两个进程，可以通过上面命令
   lsof -i:9600 查看对应的进程pid ,然后用kill -9 XX  ，杀掉这个进程，再重启启动logstash 即可；
    
4. 正常启动logstash 之后，可以通过在浏览器中输入“10.36.24.194:9200/_cat/indices?v”，将命令的IP换成你对应的IP，可以查看到你对应的index，这生成 index 很关键，其实就是你启动logstash 文件中配置的index,比如我这个显示就是我配置文件中的"switchlog"
   
   
    
5. 在浏览器中可以查看到你的index ,就可以使用kibana 界面中按照最上面链接里操作，但这里就是写之前浏览器中的index 名字，就可以正常创建；
    
6. 创建索引模式之后，怎么查看你的交换机日志呢？通过下面截图这里选择你创建的index 才能查看到对应日志：
   
    
7. 然后这里搜索就可以看到你的syslog 日志，终于找到我交换机的日志了，（对于一个小白来说，真的挺艰难的）