docker部署elk日志中间件+filebeat采集

1，首先确认机器上有4G可用内存

#然后输入命令查看机器上面mmap的值：

sysctl vm.max_map_count

#如果值小于655360

#执行命令：

sysctl -w vm.max_map_count=655360

#然后设置修改文件

vim /etc/sysctl.conf

#加入：
vm.max_map_count=655360

启动elk：
 

sudo docker run -d -p 5601:5601 -p 9200:9200 -p 5044:5044 -v elk-data:/var/lib/elasticsearch --name elk sebp/elk:550
sudo docker logs -f elk

在演示环境和测试环境中，ssl是不必要的，可以去掉logstash的ssl：

docker exec -it elk bash
vim /etc/logstash/conf.d/02-beats-input.conf
#删除里面所有ssl与ssl-prefixed指令，改成如下：
input {
  beats {
    port => 5044
  }
}

安装filebeat：

curl -L -O https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-5.5.3-x86_64.rpm
sudo rpm -vi filebeat-5.5.3-x86_64.rpm

配置日志路径和输出地址

vim /etc/filebeat/file