MAC搭建ELK日志搜索系统，单机单节点，filebeat + elasticsearch + logstash + kibana 20190722

一、软件下载

• filebeat:https://www.elastic.co/cn/downloads/past-releases/filebeat-5-6-0

• elasticsearch: https://www.elastic.co/cn/downloads/elasticsearch

• logstash:https://www.elastic.co/cn/downloads/logstash

• kibana:https://www.elastic.co/cn/downloads/kibana

    注意，es版本需要和kibana版本一致
  

二、修改配置文件

• filebeat：
  – 打开文件目录，找到filebeat.yml配置文件，修改里面的配置
  
  – 由于案例的数据源是基于日志文件，所以这里需要配置读取文件的路径
  
  – 配置好输入的数据源后，我们需要配置输出到哪里，一进一出，相当于数据管道

    注意，logstash的端口是5044，如果后面logstash改成自定义的端口，记得修改这里
  

• logstash：
  – 打开文件目录，找到config文件夹下的配置文件logstash-sample.conf
  
  – 修改配置文件，输入配置为beats，这里的5044端口对应上一步filebeat.yml中输出到logstash的配置端口，当然也可以按照注释掉的代码，直接配置读取文件
  – 输出配置为es，指定es路径和端口，使用index指定索引
  
• kibana：
  – 打开文件目录，找到config文件夹下的kibana.yml配置文件
  
  – 修改配置文件，指定读取数据的es路径和端口
  
• elasticsearch:
  – 这个不需要修改配置，如果真的要做点什么，建议加个可视化界面，方便查看es中的数据就行了。可视化插件传送门：https://blog.csdn.net/u012888052/article/details/79710429

三、程序启动

	启动请前先检查下日志文件是否存在，与配置的路径是否匹配

• 启动filebeat：
  命令行进入到filebeat文件夹下，敲入命令，如果提示输入密码，应输入电脑的开机密码。

sudo ./filebeat -e -c filebeat.yml -d "publish"

• 启动logstash：
  命令行进入到logstash文件夹下，敲入命令

./bin/logstash  -f config/logstash-sample.conf

• 启动elasticsearch：
  命令行进入到elasticsearch文件夹下，敲入命令

bin/elasticsearch

• 启动kibana：
  命令行进入到kibana文件夹下，敲入命令

bin/kibana

• 访问kibana地址：http://localhost:5601 如果页面可以显示，即为启动成功

四、进行验证

• 修改日志文件，新增几行数据，由于读取日志文件过程中，监听的程序是不知道第105行是最后一行，并且已经写完，所以不会进行数据同步，故而日志文件只会读取到第104行。这个问题应该有办法解决，目前博主不知道，有待验证。
  

• 此时正常的情况，数据会根据filebeat->logstash->elasticsearch这个链路，将数据传输到es中，我们可以通过es的可视化插件进行验证：

• 可以看到数据已经按照预想的情况，同步到了es，那么下面还差kibana的可视化页面需要配置，就可以大功告成了

五、配置kibana图形化页面

• 访问kibana地址：http://localhost:5601，进入主页后，按照下图步骤，依次点击
  

• 输入es所对应的索引，点击下一步，一步步地创建
  

• 接下来进入页面，指定查询的范围，即可显示出刚刚同步的数据
  

    好了，elk简单的搭建案例就到这里，如果中途遇到报错，还请自行百度解决。如果教程中有漏掉、错误的点，还请联系作者指出，博主非专业运维，纯属兴趣爱好
    喜欢还请点个赞，转载还请注明出处，谢谢了
    QQ：820155406