linux中的elk（日志分析平台）

Elastic Stack (日志分析平台)
提供分布式的存储、检索、分析

官方文档 https://www.elastic.co/guide/index.html

配置第一台主机:
1.软件安装
先安装jdk再安装elk包

[root@server1 elk]# ls
elasticsearch-6.6.1.rpm  jdk-8u121-linux-x64.rpm
[root@server1 elk]# yum install -y jdk-8u121-linux-x64.rpm 
[root@server1 elk]# yum install -y elasticsearch-6.6.1.rpm 

2.修改配置文件

[root@server1 elasticsearch]# pwd
/etc/elasticsearch
[root@server1 elasticsearch]# vim elasticsearch.yml 
 17 cluster.name: my-elk				# 集群的名称my-es
 23 node.name: server1					# 当前节点的主机名
 33 path.data: /var/lib/elasticsearch/  # 数据目录
 37 path.logs: /var/log/elasticsearch/  # 日志目录
 43 bootstrap.memory_lock: true			# 根据内存大小锁定，最少1G
 55 network.host: 172.25.26.1			# 当前主机的IP
 59 http.port: 9200						# 默认端口

启动服务查看是否开启

[root@server1 elasticsearch]# systemctl daemon-reload
[root@server1 elasticsearch]# systemctl start elasticsearch
[root@server1 elasticsearch]# ps ax	# 没有进程
[root@server1 elasticsearch]# cat /var/log/elasticsearch/my-elk.log #查看日志，可以看出开启后又关闭了根据日志改错
[root@server1 elasticsearch]# systemctl status elasticsearch	# 未开启

根据日志报错内容更改配置文件

修改限制内存的配置文件

[root@server1 elasticsearch]# vim /etc/security/limits.conf 
elasticsearch - memlock unlimited		# 不限制内存
elasticsearch - nofile 65536			# 最大文件数
elasticsearch - nproc 4096				# 最大进程数

[root@server1 elasticsearch]# vim /usr/lib/systemd/system/elasticsearch.service
 37 LimitMEMLOCK=infinity				# 内存锁定无限

查看文件默认最大内存

[root@server1 elasticsearch]# sysctl -a | grep vm.max_map_count
vm.max_map_count = 262144

关闭swap服务

[root@server1 elasticsearch]# swapoff -a	# 不使用swap内存
[root@server1 elasticsearch]# vim /etc/fstab
#/dev/mapper/rhel-swap   swap                    swap    defaults        0 0
[root@server1 elasticsearch]# systemctl daemon-reload
[root@server1 elasticsearch]# systemctl restart elasticsearch.service
[root@server1 elasticsearch]# netstat -tnlpa|grep 9200
tcp6       0      0 172.25.26.1:9200        :::*                    LISTEN      2899/java           
tcp6       0      0 172.25.26.1:9200        172.25.26.250:44654     ESTABLISHED 2899/java           

浏览器搜索：http://172.25.26.1:9200

再次查看日志文件，这时显示正常开启且未关闭

[root@server1 elasticsearch]# cat /var/log/elasticsearch/my-elk.log