ELK 日志分析

最新推荐文章于 2023-12-22 14:53:37 发布
最新推荐文章于 2023-12-22 14:53:37 发布
阅读量4.5k 收藏 34
点赞数 12
分类专栏： Linux网络服务 文章标签： elk linux 服务器 运维 centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/w918589859/article/details/109964049
版权

文章目录

一、为什么用到 ELK

  一般我们需要进行日志分析场景：直接在日志文件中 grep、awk 就可以获得自己想要的信息。但在规模较大的场景中，此方法效率低下，面临问题包括日志量太大如何归档、文本搜索太慢怎么办、如何多维度查询。需要集中化的日志管理，所有服务器上的日志收集汇总。常见解决思路是建立集中式日志收集系统，将所有节点上的日志统一收集，管理，访问。

  一般大型系统是一个分布式部署的架构，不同的服务模块部署在不同的服务器上，问题出现时，大部分情况需要根据问题暴露的关键信息，定位到具体的服务器和服务模块，构建一套集中式日志系统，可以提高定位问题的效率。


一个完整的集中式日志系统，需要包含以下几个主要特点：

  • 收集－能够采集多种来源的日志数据
  • 传输－能够稳定的把日志数据传输到中央系统
  • 存储－如何存储日志数据
  • 分析－可以支持 UI 分析
  • 警告－能够提供错误报告，监控机制 ELK 提供了一整套解决方案，并且都是开源软件，之间互相配合使用，完美衔接，高效的满足了很多场合的应用。目前主流的一种日志系统。

二、ELK 简介

ELK 是三个开源软件的缩写，分别表示：Elasticsearch , Logstash, Kibana , 它们都是开源软件。新增了一个 FileBeat，它是一个轻量级的日志收集处理工具(Agent)，Filebeat 占用资源少，适合于在各个服务器上搜集日志后传输给 Logstash，官方也推荐此工具。

  • Elasticsearch 是个开源分布式搜索引擎，提供搜集、分析、存储数据三大功能。它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful 风格接口，多数据源，自动搜索负载等。

  • Logstash 主要是用来日志的搜集、分析、过滤日志的工具，支持大量的数据获取方式。一般工作方式为 c/s 架构，client 端安装在需要收集日志的主机上，server 端负责将收到的各节点日志进行过滤、修改等操作在一并发往 elasticsearch 上去。

  • Kibana 也是一个开源和免费的工具，Kibana 可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助汇总、分析和搜索重要数据日志。

  • Filebeat 隶属于 Beats，是一个轻量级的日志收集处理工具。目前 Beats 包含四种工具

    • Packetbeat（搜集网络流量数据）
    • Topbeat（搜集系统、进程和文件系统级别的 CPU 和内存使用情况等数据）
    • Filebeat（搜集文件数据）
    • Winlogbeat（搜集 Windows 事件日志数据）

ELK


三、实验部署

本次部署的是 filebeats(客户端)，elasticsearch+logstash+kibana(服务端)组成的架构。

  业务请求到达 nginx-server 机器上的 Nginx； Nginx 响应请求，并在 access.log 文件中增加访问记录； FileBeat 搜集新增的日志，通过 LogStash 的 5044 端口上传日志； LogStash 将日志信息通过本机的 9200 端口传入到 ElasticSerach； 搜索日志的用户通过浏览器访问 Kibana，服务器端口是 5601；Kibana 通过 9200 端口访问 ElasticSerach；

在这里插入图片描述


实验环境：

本次部署的是单点 ELK 用了两台机器(CentOS-7.5)
ELK 服务端：192.168.88.100
Nginx 客户端：192.168.88.110

3.1 准备工作

操作系统：CentOS 7.X 64 位
关闭 SELinux 和 firewalld 防火墙
此次试验环境使用网络 yum 源，保证系统能正常连接互联网

防火墙

[root@localhost ~]$ systemctl stop firewalld   #临时关闭
[root@localhost ~]$ systemctl disable firewalld   #永久关闭,enable开启

SELinux

[root@localhost ~]$ setenforce 0 && sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config && reboot
[root@localhost ~]$ getenforce

配置yum源

可参考之前的文章设置yum源
Linux配置yum源


修改ip

虚拟机网络为nat，网段要一致，可在VMware虚拟机【编辑】-----【虚拟网络编辑器】，选中这个nat模式网卡【子网ip】修改即可

[root@localhost ~]$ cd /etc/sysconfig/network-scripts

#两台服务器都需要修改，另一台ip改为192.168.88.110
[root@localhost ~]$ vim ifcfg-ens33  
TYPE=Ethernet  #网络类型
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static  #修改此处，改为static
IPADDR=192.168.88.100   #ip地址
NETMASK=255.255.255.0   #子网掩码
GATEWAY=192.168.88.2   #网关，可在虚拟机中查看
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=59ab8840-ef2e-441b-97d1-f9f7fde61d7b
DEVICE=ens33
ONBOOT=yes #开机自启
DNS1=114.114.114.114 #dns地址


[root@localhost ~]$ systemctl restart network #重启网卡

3.2 下载并安装软件包

ELK 服务端配置

由于官网下载很慢，这里下载好提供百度网盘，可上传至linux
链接：https://pan.baidu.com/s/1vUcy3XXG_O7O5-x7ggir5Q
提取码：7nfo

百度网盘加速工具

[root@localhost ~]$ mkdir /elk;cd /elk
[root@localhost ~]$ wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.2.3.tar.gz
[root@localhost ~]$ wget https://artifacts.elastic.co/downloads/logstash/logstash-6.2.3.tar.gz
[root@localhost ~]$ wget https://artifacts.elastic.co/downloads/kibana/kibana-6.2.3-linux-x86_64.tar.gz

全部解压缩，并复制到/usr/local/目录下

[root@localhost ~]$ cd /elk
[root@localhost ~]$ tar -zxvf elasticsearch-6.2.3.tar.gz && cp -a elasticsearch-6.2.3 /usr/local/
[root@localhost ~]$ tar -zxvf logstash-6.2.3.tar.gz && cp -a logstash-6.2.3 /usr/local/
[root@localhost ~]$ tar -zxvf kibana-6.2.3-linux-x86_64.tar.gz && cp -a kibana-6.2.3-linux-x86_64 /usr/local/

3.3 安装 JDK(java)环境工具

[root@localhost ~]$ yum -y install java-1.8*

3.4 配置 elasticsearch

3.4.1 新建 elasticsearch 用户并启动

用 elasticsearch 普通用户启动

[root@localhost ~]$ useradd elasticsearch
[root@localhost ~]$ chown -R elasticsearch.elasticsearch /usr/local/elasticsearch-6.2.3/
[root@localhost ~]$ su - elasticsearch
[root@localhost ~]$ cd /usr/local/elasticsearch-6.2.3/
[root@localhost ~]$ ./bin/elasticsearch -d
3.4.2 查看进程是否启动成功
[root@localhost ~]$ netstat -antp
tcp6       0      0 127.0.0.1:9200          :::*                    LISTEN      13250/java          
tcp6       0      0 ::1:9200                :::*                    LISTEN      13250/java
3.4.3 若出现错误可以查看日志
[root@localhost ~]$ cat /usr/local/elasticsearch-6.2.3/logs/elasticsearch.log
3.4.4 测试是否可以正常访问
[root@localhost ~]$ curl localhost:9200
{
  "name" : "BfrMpou",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "cvsSNh5CQzC1OekD1d1Hug",
  "version" : {
    "number" : "6.2.3",
    "build_hash" : "c59ff00",
    "build_date" : "2018-03-13T10:06:29.741383Z",
    "build_snapshot" : false,
    "lucene_version" : "7.2.1",
    "minimum_wire_compatibility_version" : "5.6.0",
    "minimum_index_compatibility_version" : "5.0.0"
  },
  "tagline" : "You Know, for Search"
}

3.5 配置 logstash

Logstash 收集 nginx 日志之使用 grok 过滤插件解析日志，grok 作为一个 logstash 的过滤插件，支持根据模式解析文本日志行，拆成字段。

3.5.1 logstash 中 grok 的正则匹配
[root@localhost ~]$ exit   #切换为root用户
[root@localhost ~]$ cd /usr/local/logstash-6.2.3
[root@localhost ~]$ vim vendor/bundle/jruby/2.3.0/gems/logstash-patterns-core-4.1.2/patterns/grok-patterns
#最后面添加如下内容
WZ ([^ ]*)
NGINXACCESS %{IP:remote_ip} \- \- \[%{HTTPDATE:timestamp}\] "%{WORD:method} %{WZ:request} HTTP/%{NUMBER:httpversion}" %{NUMBER:status} %{NUMBER:bytes} %{QS:referer} %{QS:agent} %{QS:xforward}
3.5.2 创建 logstash 配置文件
[root@localhost ~]$ vim /usr/local/logstash-6.2.3/default.conf
input {  #数据的入口，监听的端口
 	beats {
 	port => "5044"
 	}
  }

#数据过滤
filter { 
	 grok { #日志分析的插件
	 match => { "message" => "%{NGINXACCESS}" }
	 }
	 geoip { #监控的客户端，监控多个就写多个
	 # nginx 客户端 ip
	 source => "192.168.88.110"
	 } 
}

#输出配置为本机的 9200 端口，这是 ElasticSerach 服务的监听端口
output {
	 elasticsearch {
	 hosts => ["127.0.0.1:9200"]
	 } 
 }
3.5.3 启动

进入到/usr/local/logstash-6.2.3 目录下，并执行下列命令
后台启动

[root@localhost ~]$ cd /usr/local/logstash-6.2.3
[root@localhost ~]$ nohup bin/logstash -f default.conf &

查看启动日志：

[root@localhost ~]$ tailf nohup.out

查看端口是否启动：

[root@localhost ~]$ netstat -napt|grep 5044
tcp6       0      0 :::5044                 :::*                    LISTEN      13309/java

3.6 配置 kibana

3.6.1 修改kibana配置文件

打开 Kibana 配置文件/usr/local/kibana-6.2.3-linux-x86_64/config/kibana.yml，找到下面这行并修改

[root@localhost ~]$ vim /usr/local/kibana-6.2.3-linux-x86_64/config/kibana.yml
#server.host: "localhost"
#修改为
server.host: "192.168.88.100" #监听的IP地址，本机的ip地址

这样其他电脑就能用浏览器访问 Kibana 的服务了；

3.6.2 启动

进入 Kibana 的目录：/usr/local/kibana-6.2.3-linux-x86_64
执行启动命令：

[root@localhost ~]$ cd /usr/local/kibana-6.2.3-linux-x86_64
[root@localhost ~]$ nohup bin/kibana &

查看启动日志：

[root@localhost ~]$ tail -f nohup.out

查看端口是否启动：

[root@localhost ~]$ netstat -napt|grep 5601
tcp        0      0 192.168.88.100:5601     0.0.0.0:*               LISTEN      13359/bin/../node/b
3.6.3 测试

在浏览器访问 192.168.88.100:5601到此。ELK 部署完成


3.7 Nginx 客户端配置

被监控端，ip为110服务执行

3.7.1 yum 安装二进制 nginx 软件包
[root@localhost ~]$ yum -y install nginx
[root@localhost ~]$ systemctl start nginx && systemctl enable nginx
3.7.2 下载 filebeat 并解压到/usr/local/
[root@localhost ~]$ wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-6.2.3-linux-x86_64.tar.gz
[root@localhost ~]$ tar -xf ./filebeat-6.2.3-linux-x86_64.tar.gz -C /usr/local/
3.7.3 修改filebeat配置文件

打开文件/usr/local/filebeat-6.2.3-linux-x86_64/filebeat.yml，找到如下位置：修改三处

[root@localhost ~]$ vim /usr/local/filebeat-6.2.3-linux-x86_64/filebeat.yml
enable：false    #修改为 true
paths：/var/log/*.log    #修改为/var/log/nginx/*.log
#output.elasticsearch:   #将此行注释掉
	#hosts: ["localhost:9200"]   #将此行注释掉
output.logstash:     #取消此行注释
	hosts: ["192.168.88.100:5044"] #取消此行注释并修改 IP 地址为 ELK 服务器地址
3.7.4 启动

切换到/usr/local/filebeat-6.2.3-linux-x86_64 目录下

[root@localhost ~]$ cd /usr/local/filebeat-6.2.3-linux-x86_64

后台启动 filebeat：

[root@localhost ~]$ nohup ./filebeat -e -c filebeat.yml &

查看日志

[root@localhost ~]$ tailf nohup.out
2020-11-29T19:05:11.569+0800	INFO	registrar/registrar.go:71	No registry file found under: /usr/local/filebeat-6.2.3-linux-x86_64/data/registry. Creating a new registry file.
2020-11-29T19:05:11.570+0800	INFO	registrar/registrar.go:108	Loading registrar data from /usr/local/filebeat-6.2.3-linux-x86_64/data/registry
2020-11-29T19:05:11.570+0800	INFO	registrar/registrar.go:119	States Loaded from registrar: 0
2020-11-29T19:05:11.570+0800	WARN	beater/filebeat.go:261	Filebeat is unable to load the Ingest Node pipelines for the configured modules because the Elasticsearch output is not configured/enabled. If you have already loaded the Ingest Node pipelines or are using Logstash pipelines, you can ignore this warning.
2020-11-29T19:05:11.570+0800	INFO	crawler/crawler.go:48	Loading Prospectors: 1
2020-11-29T19:05:11.570+0800	INFO	log/prospector.go:111	Configured paths: [/var/log/nginc/*.log]
2020-11-29T19:05:11.570+0800	INFO	crawler/crawler.go:82	Loading and starting Prospectors completed. Enabled prospectors: 1
2020-11-29T19:05:11.570+0800	INFO	cfgfile/reload.go:127	Config reloader started
2020-11-29T19:05:11.571+0800	INFO	cfgfile/reload.go:219	Loading of config files completed.
2020-11-29T19:05:41.581+0800	INFO	[monitoring]	log/log.go:124	Non-zero metrics in the last 30s
{"monitoring": {"metrics": {"beat":{"cpu":{"system":{"ticks":30,"time":34},"total":{"ticks":30,"time":43,"value":30},"user":{"ticks":0,"time":9}},"info":{"ephemeral_id":"2b75e453-6505-4e49-8790-a9d8a1c9aa14","uptime":{"ms":30021}},"memstats":{"gc_next":4473924,"memory_alloc":2814032,"memory_total":2814032,"rss":11853824}},"filebeat":{"harvester":{"open_files":0,"running":0}},"libbeat":{"config":{"module":{"running":0},"reloads":1},"output":{"type":"logstash"},"pipeline":{"clients":1,"events":{"active":0}}},"registrar":{"states":{"current":0},"writes":1},"system":{"cpu":{"cores":2},"load":{"1":0,"15":0.05,"5":0.01,"norm":{"1":0,"15":0.025,"5":0.005}}}}}}
3.7.5 访问

通过浏览器多访问几次 nginx 服务，这样能多制造一些访问日志，访问地址：https://192.168.88.110

3.7.5 查看 kibana日志

访问 Kibana：http://192.168.88.100:5601，点击左上角的 Discover，就可以看到访问日志已经被ELK 搜集了，然后按照下列步骤完成设置

  • 输入 logstash-*，点击”Next step”
  • 选择 Time Filter，再点击“Create index pattern”
  • 然后可自行创建日志内容查询规则
路人甲_passerby
关注
  • 12
    点赞
  • 踩
  • 34
    收藏
    觉得还不错? 一键收藏
  • 10
    评论
专栏目录
ELK日志分析系统
04-30
进行日志处理分析，一般需要经过一下几步： （1）将日志进行集中化管理 （2）将日志格式化（Logstash）并输出到Elasticsearch （3）对格式化后的数据进行索引和存储（Elasticsearch） （4）前端数据的展示（Kibana）
快速搭建ELK日志分析系统
01-27
ELK是Elasticsearch、Logstash、Kibana的简称，这三...Logstash是一个用来搜集、分析、过滤日志的工具。它支持几乎任何类型的日志，包括系统日志、错误日志和自定义应用程序日志。它可以从许多来源接收日志，这些来源包
ELK培训
qq_42642159的博客
10-20 441
一、ELK简介 1.1 Elastic Stack简介 1.2 Elasticsearch介绍 1.2.1 Lucene: https://blog.csdn.net/weixin_42633131/article/details/82873731/ 1.2.2 倒排索引 1.2.3Lucene和Elasticsearch的关系 1.3 FileBeat介绍 Filebeat的介绍： https://www.cnblogs.com/zsql/p/13137833.html 1.4 Logstash介绍
ELK日志分析工具
zhouziyu00的博客
07-19 1268
ELK 概述 一、ELK简介 1ELK平台由ElasticSearch、Logstash 和 Kiabana 三个开源工具组成 1，ElasticSearch：是基于Lucene（一个全文检索引擎的架构）开发的分布式存储检索引擎，用来存储各类日志。 优点是能对大容量的数据进行接近实时的存储、搜索和分析操作。 2，Logstash：作为数据收集引擎。一款强大的数据处理工具， 可以实现数据传输、格式处理、格式化输出。 3，Kiabana：是基于 Node.js 开发的展示工具，可以为 Logstash
ELK集群搭建（ElasticSearch Logstash Kinaba）
weixin_34221112的博客
05-18 102
Logstash 1.1 安装 注：安装在需要收集日志的机器上。 cd /data/softssudo wget https://download.elastic.co/l...sudo tar -zxf logstash-2.4.0.tar.gzsudo mv logstash-2.4.0 /usr/local/logstash 1.2...
ELK日志分析系统搭建
05-01
ELK(Elasticsearch、Logstash和Kibana) 日志分析 系统搭建
Centos7下搭建ELK日志分析系统
11-02
【Centos7下搭建ELK日志分析系统】 ELK栈是日志管理和分析的强大工具，由Elasticsearch、Logstash、Kibana三个组件组成。Elasticsearch是一个分布式的实时搜索和分析引擎，用于存储、分析和检索大量数据。Logstash...
ELK日志分析系统.pptx
01-04
ELK Stack 日志分析系统 ELK Stack 是一个开源的日志分析系统，由 Elasticsearch、Logstash 和 Kibana 三个组件组成。该系统能够实时地收集、存储和分析日志数据，并提供可视化的查询和分析功能。 ELK Stack 的...
开源实时日志分析ELK系统搭建说明
04-27
自己通过5天时间在Ubuntu14.04 Server亲自搭建master节点和node节点，实验成功后亲自编写的《开源实时日志分析ELK系统搭建说明》，分虽然高一些，但是内容看了很值得，包含搭建、实验、排错等环节，谢谢大家~。
ELK日志分析
Zlwriii的博客
11-22 1481
目录 一、ELK日志分析系统简介 1.日志服务器 2.ELK日志分析系统 3.日志处理步骤 二、Elasticsearch的介绍 1.Elasticsearch的核心概念 三、Logstash介绍 1. logStash的主要组件 2. LogStash主机分类 四、Kibana介绍 1.kibana的主要功能 五、配置ELK日志分析系统 1.准备条件 2.关闭防火墙策略 3.配置elasticsearch环境 4.部署elasticsearch软件 5.安装elastic
如何优雅地记录操作日志
个人主页
03-25 3161
操作日志几乎存在于每个系统中，而这些系统都有记录操作日志的一套 API。操作日志和系统日志不一样，操作日志必须要做到简单易懂。所以如何让操作日志不跟业务逻辑耦合，如何让操作日志的内容易于理解，如何让操作日志的接入更加简单？上面这些都是本文要回答的问题。我们主要围绕着如何“优雅”地记录操作日志展开描述，希望对从事相关工作的同学能够有所帮助或者启发 操作日志的使用场景 实现方式 2.1 使用 Canal 监听数据库记录操作日志 2.2 通过日志文件的方式记录 2.3 通过 LogUti.
如何优雅地记录操作日志？
最新发布
CoderChronicle的博客
12-22 504
用户关心的是配送员的姓名和电话。可能有同学注意到，上面的方式虽然解耦了操作日志的代码，但是记录的文案并不符合我们的预期，文案是静态的，没有包含动态的文案，因为我们需要记录的操作日志是： 用户%s修改了订单的配送地址，从“%s”修改到“%s”。缺点也很明显，局限性太高，只能针对数据库的更改做操作日志记录，如果修改涉及到其他团队的 RPC 的调用，就没办法监听数据库了，举个例子：给用户发送通知，通知服务一般都是公司内部的公共组件，这时候只能在调用 RPC 的时候手工记录发送通知的操作日志了。
我们如何实现业务操作日志功能？
一个人的江湖
06-20 2306
我们经常会有这样的需求，需要对关键的业务功能做操作日志记录，也就是用户在指定的时间操作了哪个功能，操作前后的数据记录，必要的时候可以一键回退，今天我就为大家实现这个的功能，让大家可以直接拿来用。首先我们得要分析具体要实现这个功能，都需要记录哪些信息，然后怎么要去实现这个功能？ 具体功能点：我们首先要想到，要实现这个功能，最好的办法就是需要和业务逻辑进行解耦，因为它是一种业务辅助功能，同时是对所有业务的一种横向操作，那我们使用什么技术，是不是就呼之欲出了？最容易想到的就是AOP切面+自定义注解。1、首先定义操
日志的概念
路边烧卖
04-16 3396
日志的概念 1、日志简介 日志是什么 日志：记录程序的运行轨迹，方便查找关键信息，也方便快速定位解决问题 通常，Java程序员在开发项目时都是依赖Eclipse/IDEA等集成开发工具的Debug 调试功能来跟踪解决Bug，但项目发布到了测试、生产环境怎么办？你有可能会说可以使用远程调试，但实际并不能允许让你这么做。 所以，日志的作用就是在测试、生产环境没有 Debug 调试工具时开发和测试人员定位问题的手段。日志打得好，就能根据日志的轨迹快速定位并解决线上问题，反之，日志输出不好，不仅无法辅助定位问题
【应急响应】日志自动提取分析项目&ELK&Logkit&LogonTracer&Anolog等
今天是几号的博客
05-03 2762
1、七牛Logkit：(Windows&Linux&Mac等)支持的数据源（各类日志，各个系统，各个应用等）File: 读取文件中的日志数据，包括csv格式的文件，kafka-rest日志文件，nginx日志文件等,并支持以grok的方式解析日志。2、观星应急工具：（Windows系统日志）SglabIr_Collector是qax旗下的一款应急响应日志收集工具，能够快速收集服务器日志，并自动打包，将收集的文件上传观心平台即可自动分析。
操作日志和系统日志分类记录
ejinxian的专栏
09-20 5277
操作日志和系统日志不一样，操作日志必须要做到简单易懂。所以如何让操作日志不和业务逻辑耦合，如何让操作日志的内容易于理解 系统日志和操作日志的区别 系统日志：系统日志主要是为开发排查问题提供依据，一般打印在日志文件中；系统日志的可读性要求没那么高，日志中会包含代码的信息，比如在某个类的某一行打印了一个日志。 操作日志：主要是对某个对象进行新增操作或者修改操作后记录下这个新增或者修改，操作日志要求可读性比较强，因为它主要是给用户看的，比如订单的物流信息，用户需要知道在什么时间发生了什么事情。再比如，客

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 10
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值