开源实时日志分析平台-ELK logstash部署

Logstash管道有两个必需的元素，input和output，以及一个可选的元素，filter。input输入插件使用来自源的数据，filter过滤器插件在你指定时修改数据，output输出插件将数据写入目标。

2.3.6.18、 解压安装包（如果是rpm包，默认位置在/usr/share/logstash）
[root@cong11 ~]# tar -zxvf logstash-7.3.0.tar.gz -C /usr/local/
2.3.6.19、 生成配置文件
[root@cong11 ~]# vim /usr/local/logstash-7.3.0/config/logstash.conf
input {
file {
path => “/var/log/messages” # 收集来源，这里收集系统日志
start_position => “beginning” #从哪里开始监控，beginning表示从logstash进程开始时监控(常用beginning)
}
}
filter { #数据处理,过滤，为空不过滤
}
output {
elasticsearch {
hosts => “192.168.1.11:9200”
index => “var-massages-%{+yyyy.MM.dd}”
}
stdout { codec => rubydebug } # stdout标准输出,输出到当前终端显示屏
}
注:上述文件复制时必须去除多余空格，保持yml文件规范。这个配置文件只是简单测试logstash收集日志功能。
2.3.6.20、 做软连接
[root@cong11 ~]# ln -s /usr/local/logstash-7.3.0/bin/* /usr/local/bin/
2.3.6.21、 启动logstash
[root@cong11 ~]# logstash -f /usr/local/logstash-7.3.0/config/logstash.conf
-f, --path.config CONFIG_PATH
从特定文件或目录加载Logstash配置。如果给出了目录，则该目录中的所有文件将按字典顺序连接，然后解析为单个配置文件。不支持多次指定此标志。如果多次指定此标志，则Logstash将使用最后一次出现（例如，与之-f foo -f bar相当于-f bar）。
-t 检测
你可以指定通配符任何匹配的文件将按上述顺序加载。例如，您可以使用通配符功能按名称加载特定文件：
bin / logstash - debug - f ‘/ tmp / {one，two，three}’
使用此命令，Logstash串接三个配置文件/tmp/one，/tmp/two以及 /tmp/three和他们解析到一个单一的配置。

2.3.6.22、 后台启动
[root@cong11 ~]# nohup logstash -f /usr/local/logstash-7.3.0/config/logstash.conf &
[1] 14650
2.3.6.23、 开机自启动
[root@cong11 ~]# echo “source /etc/profile” >> /etc/rc.local #让开机加载java环境
[root@cong11 ~]# echo “nohup logstash -f /usr/local/logstash-7.3.0/config/logstash.conf &” >> /etc/rc.local
[root@cong11 ~]# chmod +x /etc/rc.local