搭建elk server通过rsyslog展示nginx和php日志

最新推荐文章于 2023-11-21 22:12:39 发布

weixin_34327761

最新推荐文章于 2023-11-21 22:12:39 发布

阅读量139

点赞数

文章标签：大数据运维 php

本文链接：https://blog.csdn.net/weixin_34327761/article/details/85096747

版权

一、系统和所需软件版本介绍

系统版本：centos 6.5 64位

软件版本：jdk-8u60-linux-x64.tar.gz、elasticsearch-2.4.2.tar.gz、logstash-2.4.1.tar.gz、kibana-4.6.3-linux-x86_64.tar.gz

二、安装java环境

1)解压jdk软件压缩包。

tar -zxvf jdk-8u60-linux-x64.tar.gz

2)在/etc/profile文件的最后边，添加下边这几行，设置一下环境变量。

export JAVA_HOME=/data/elk/jdk1.8.0_60
export JAVA_BIN=/data/elk/jdk1.8.0_60/bin
export PATH=$PATH:$JAVA_HOME/bin
export CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar
export JAVA_HOME JAVA_BIN PATH CLASSPATH

3)然后加载一下环境变量,查看下java环境是否安装成功。

[root@elk]# source /etc/profile
[root@elk]# java -version
java version "1.8.0_60"
Java(TM) SE Runtime Environment (build 1.8.0_60-b27)
Java HotSpot(TM) 64-Bit Server VM (build 25.60-b23, mixed mode)

三、安装elasticsearch.

1)从官网现在相应版本的elasticsearch软件包，这里下载的是elasticsearch-2.4.2.tar.gz，下载完成后解压。

wget https://download.elastic.co/elasticsearch/release/org/elasticsearch/distribution/tar/elasticsearch/2.4.2/elasticsearch-2.4.2.tar.gz
tar -zxvf elasticsearch-2.4.2.tar.gz

2)2.4版本启动elasticsearch的时候需要切换到普通用户，这里就使用已经创建好的elasticsearch启动了，需要把elasticsearch目录的属主和属组修改成elasticsearch.

chown -R elasticsearch.elasticsearch elasticsearch

3)需要修改一下elasticsearch/config/elasticsearch.yml这个文件的两行配置信息，默认是用#注释的，在elasticsearch.yml的第55和58行。

grep -v "#" elasticsearch/config/elasticsearch.yml| grep -v "^$"
network.host: 0.0.0.0
http.port: 9200

4)安装elasticsearch常用的两个插件，分别是bigdesk和head。

bigdesk: 它是elasticsearch的一个集群监控工具，可以通过它来查看es集群的各种状态，如：cpu、内存使用情况，索引数据、搜索情况，http连接数等.

head: elasticsearch-head是一个界面化的集群操作和管理工具，可以对集群进行傻瓜式操作。你可以通过插件把它集成到es（首选方式）,也可以安装成一个独立webapp。安装插件的时候需要进入到elasticsearch的bin目录，要用到一个plugin的命令。

cd /date/elk/elasticsearch/bin
ls
elasticsearch      elasticsearch.in.bat  elasticsearch-service-mgr.exe     elasticsearch-service-x86.exe  plugin.bat  elasticsearch.bat  elasticsearch.in.sh elasticsearch-service-x64.exe  plugin   service.bat
./plugin install mobz/elasticsearch-head        #安装elasticsearch-head插件
./bin/plugin install lukas-vlcek/bigdesk/2.4.0  #安装bigdesk插件

5)启动elasticsearch.

[hello@iZbp1brwi55d51j9rfs9uyZ ~]$ ps -ef | grep elasticsearch 
	hello 29513 29473  0 11:05 pts/0    00:00:00 grep elasticsearch
	hello 30161     1  6 Jan09 ?        01:20:03 /data/elk/jdk1.8.0_60/bin/java -Xms256m -Xmx1g -Djava.awt.headless=true -XX:+UseParNewGC -XX:+UseConcMarkSweepGC -XX:CMSInitiatingOccupancyFraction=75 -XX:+UseCMSInitiatingOccupancyOnly -XX:+HeapDumpOnOutOfMemoryError -XX:+DisableExplicitGC -Dfile.encoding=UTF-8 -Djna.nosys=true -Des.path.home=/data/elk/elasticsearch -cp /data/elk/elasticsearch/lib/elasticsearch-2.4.2.jar:/data/elk/elasticsearch/lib/* org.elasticsearch.bootstrap.Elasticsearch start

6)测试是否可以正常访问,如果用浏览器访问，界面出现类似下边的显示，说明elasticsearch启动成功。

		curl 127.0.0.1:9200
		{
		  "name" : "Bast",
		  "cluster_name" : "elasticsearch",
		  "cluster_uuid" : "V-dptv6pQo-wBiAUwH80Sw",
		  "version" : {
		    "number" : "2.4.2",
		    "build_hash" : "161c65a337d4b422ac0c805f284565cf2014bb84",
		    "build_timestamp" : "2016-11-17T11:51:03Z",
		    "build_snapshot" : false,
		    "lucene_version" : "5.5.2"
		  },
		  "tagline" : "You Know, for Search"
		}

四、安装logstash.

1).从官网下载logstash-2.4.1.tar.gz,并且解压。

wget https://download.elastic.co/logstash/logstash/logstash-2.4.1.tar.gz

tar -zxvf logstash-2.4.1.tar.gz

2).配置logstash文件,nginx类型的日志使用udp514端口，php类型的日志使用udp515端口，向本地的elasticsearch数据库传输。

cd /data/elk/logstash
touch conf
cd conf
cat test.conf
	input {
	   udp {
	    port => 514
	    type => nginx
	  }
	   udp {
	    port => 515
	    type => php
	  }
	  	}
	
	output {
	  if [type] == "nginx" {
	    elasticsearch {
	      hosts => "localhost:9200"
	      index => "%{+YYYY.MM.dd}_nginx_log"
	    }
	  }
	
	  if [type] == "php" {
	    elasticsearch {
	      hosts => "localhost:9200"
	      index => "%{+YYYY.MM.dd}_php_error_log"
	    }
	  }
	    stdout {codec => rubydebug}
	  }
	}

五、安装kibana,实现界面展示。

1).从官网下载kibana-4.6.3-linux-x86_64.tar.gz，并且解压。

wget https://download.elastic.co/kibana/kibana/kibana-4.6.3-linux-x86_64.tar.gz

tar -zxvf kibana-4.6.3-linux-x86_64.tar.gz

2).修改kibana的配置文件kibana.yml。

[root@iZbp1brwi55d51j9rfs9uyZ config]# grep -v "#" kibana.yml|grep -v "^$"

server.port: 8000

server.host: "0.0.0.0"

elasticsearch.url: "http://127.0.0.1:9200"

3).因为kibana进程时常无缘无故挂掉，所以这里我就写一个启动，关闭的shell脚本。

touch /etc/init.d/kibana	
chmod +x /etc/init.d/kibana
[root@iZbp1brwi55d51j9rfs9uyZ config]# cat /etc/init.d/kibana 
	#!/bin/bash
	### BEGIN INIT INFO
	# Provides:          kibana
	# Default-Start:     2 3 4 5
	# Default-Stop:      0 1 6
	# Short-Description: Runs kibana daemon
	# Description: Runs the kibana daemon as a non-root user
	### END INIT INFO
	 
	# Process name
	NAME=kibana
	DESC="Kibana4"
	PROG="/etc/init.d/kibana"
	 
	# Source function library.
	. /etc/rc.d/init.d/functions
	 
	# Configure location of Kibana bin
	KIBANA_BIN=/data/home/user00/playcrab/elk/kibana/bin
	 
	# PID Info
	PID_FOLDER=/var/run/kibana/
	PID_FILE=/var/run/kibana/$NAME.pid
	LOCK_FILE=/var/lock/subsys/$NAME
	PATH=/bin:/usr/bin:/sbin:/usr/sbin:$KIBANA_BIN
	DAEMON=$KIBANA_BIN/$NAME
	 
	# Configure User to run daemon process
	DAEMON_USER=root
	# Configure logging location
	KIBANA_LOG=/var/log/kibana.log
	 
	# Begin Script
	RETVAL=0
	 
	if [ `id -u` -ne 0 ]; then
	        echo "You need root privileges to run this script"
	        exit 1
	fi
	 
	start() {
	        echo -n "Starting $DESC : "
	 
	pid=`pidofproc -p $PID_FILE kibana`
	        if [ -n "$pid" ] ; then
	                echo "Already running."
	                exit 0
	        else
	        # Start Daemon
	if [ ! -d "$PID_FOLDER" ] ; then
	                        mkdir $PID_FOLDER
	                fi
	daemon --user=$DAEMON_USER --pidfile=$PID_FILE $DAEMON 1>"$KIBANA_LOG" 2>&1 &
	                sleep 2
	                pidofproc node > $PID_FILE
	                RETVAL=$?
	                [[ $? -eq 0 ]] && success || failure
	echo
	                [ $RETVAL = 0 ] && touch $LOCK_FILE
	                return $RETVAL
	        fi
	}
	 
	reload()
	{
	    echo "Reload command is not implemented for this service."
	    return $RETVAL
	}
	 
	stop() {
	        echo -n "Stopping $DESC : "
	        killproc -p $PID_FILE $DAEMON
	        RETVAL=$?
	echo
	        [ $RETVAL = 0 ] && rm -f $PID_FILE $LOCK_FILE
	}
	 
	case "$1" in
	  start)
	        start
	;;
	  stop)
	        stop
	        ;;
	  status)
	        status -p $PID_FILE $DAEMON
	        RETVAL=$?
	        ;;
	  restart)
	        stop
	        start
	        ;;
	  reload)
	reload
	;;
	  *)
	# Invalid Arguments, print the following message.
	        echo "Usage: $0 {start|stop|status|restart}" >&2
	exit 2
	        ;;
	esac

到这里已经安装好了elk server端的环境了，但是还需要在日志服务器上配置rsyslog，因为咱们是使用rsyslog来发送日志服务器的log，然后elk接收到之后，经过logstash过滤之后,存储到elasticsearch,最终通过kibana展示出来。

{ rsyslog } →→ { logstash →→ elasticsearch →→ kibana }

日志服务器的配置：

 [root@iZ23r24v08eZ ~]# cd /etc/rsyslog.d/
	[root@iZ23r24v08eZ rsyslog.d]# cat test.com.conf 
	$ModLoad imfile                                #im代表输入模块(input Modules)
	$InputFileName		/data/usr/logs/nginx/test.com.error.log                    #读取日志文件
	$InputFileTag	 test_nginx_error:      #定义的NAME必须唯一，同一台主机上不同的应用应当使用不同的NAME，否则会导致新定义的TAG不生效；
	$InputFileStateFile	test_nginx_error #定义记录偏移量数据文件名，定义的StateFile必须唯一，它被rsyslog用于记录文件上传进度，否则会导致混乱；	$InputRunFileMonitor                          #
	$InputFileName		/data/usr/logs/nginx/test.com.access.log
	$InputFileTag 		test_nginx_access:
	$InputFileStateFile 	test_nginx_access
	$InputRunFileMonitor
	$InputFilePollInterval 10                     #等待十秒钟发送一次
	if $programname == 'test_nginx_error' then @10.23.0.24:514  把日志传输到制定的elk server上，@表示使用udp传输，@@表示使用tcp传输
	if $programname == 'test_nginx_error' then ~
	if $programname == 'test_nginx_access' then @10.23.0.24:514
	if $programname == 'test_nginx_access' then ~

[root@iZ23r24v08eZ rsyslog.d]# cat php.error.log.conf 
	$ModLoad imfile
	$InputFileName /data/usr/logs/php-fpm/php-fpm.log
	$InputFileTag php-fpm_log:
	$InputFileStateFile state-php-fpm_log
	$InputRunFileMonitor
	$InputFilePollInterval 10
	if $programname == 'php-fpm_log' then @10.23.0.24:515
	if $programname == 'php-fpm_log' then ~

配置完后，需要重新启动rsyslog.

/etc/init.d/rsyslog restart

除了重启rsyslog服务之外，还需要看下elk server的防火墙，如果是用的云主机还有安全组，需要把udp的514和515端口放开，允许日志服务器可以访问elk server的udp514和515端口。