ELK日志分析系统

ELK日系分析系统

ELK日分析系统介绍

日志服务器

• 提高安全性
• 集中存放日志中
• 缺陷
• 对日志分析困难
  

ELK日志分析系统

• Elasticseach
• Logstash
• Kibana

日志处理步骤

1.将日志进行集中化管理
2将日志格式化(Logstash）并输出到Elasticsearch
3.对格式化后的数据进行索引和存储(Elasticsearch)
4.前端数据的展示(Kibana)

Elasticsearch介绍

提供了一个分布式多用户能力的全文引擎索引

Elasticsarch

• 接近实时
• 集群
• 节点
• 索引
• 索引（库）》》类型（表）》》文档（记录）
• 分片和副本

Logstash介绍

Logstash：数据处理引擎，可以处理每秒几万条的日志；它支持动态的从各种数据源搜集数据，并对数据进行过滤、分析、丰富、统一格式等操作，然后存储到 ES

• 一款强大的数据库处理工具
• 可实现数据传输，格式处理，格式化输出
• 数据传输，数据加工（如过滤，改写等）以及数据输出

LogStash主要组件

• Shipper
• lndexer
• Broker
• Search and Storage
• Web Interface

Kibana介绍

• 一个针对Elasticsearch的开源分析可视化平台
• 搜索，查看存储在Elasticsearch索引的数据
• 通过各种图表进行高级数据分析及展示

Kibana主要功能

• Elasticsearch无缝之集成
• 整合数据，复杂数据分析
• 让更多团队成员受益
• 接口灵活，分享更容易
• 配置简单，可视化多数据源
• 简单数据导出

部署ELK日志分析系统

案例拓扑

需求描述

• 配置ELK日志分析群集
• 使用Logsash收集日志
• 使用Kibana查看分析日志
  项目需求分析：
  需要两台服务器分别作为elasticsearch服务端和elasticsearch负载端【这台上面要部署logstash服务】
  服务端IP地址是：192.168.136.88
  负载端IP地址是：192.168.60.41

关闭防火墙和核防护

[root@node2 elasticsearch-head]# systemctl stop firewalld
[root@node2 elasticsearch-head]# iptables -F
[root@node2 elasticsearch-head]# setenforce 0

ELK实验配置

因为需要2各节点所以下面配置需要在另一台机子在配置一遍

[root@node1 ~]# hostnamectl set-hostname node1

配置域名解析文件

[root@node1 ~]# vim /etc/hosts
192.168.136.88 node1
192.168.136.40 node2

检查java环境

[root@promote ~]# java -version
openjdk version "1.8.0_181"
OpenJDK Runtime Environment (build 1.8.0_181-b13)
OpenJDK 64-Bit Server VM (build 25.181-b13, mixed mode)

配置Elasticsarch全文引擎索引

安装elasticdearch-rpm包

[root@node2 opt]# cd /opt/
[root@node2 opt]# rpm -ivh elasticsearch-5.5.0.rpm 

加载系统服务

[root@node2 opt]# systemctl daemon-reload 
[root@node2 opt]# systemctl enable elasticsearch.service

备份配置文件（养成备份好习惯）

[root@promote opt]# cp -p /etc/elasticsearch/elasticsearch.yml /etc/elasticsearch/elasticsearch.yml.bak

修改配置文件

[root@promote opt]# cd /etc/elasticsearch/
[root@promote elasticsearch]# vim elasticsearch.yml
 17 cluster.name: my-elk-cluster   群集名称
 23 node.name: node1   节点名称（二号机要改2）
 33 path.data: /data/elk_data   数据存放位置
 37 path.logs: /var/log/elasticsearch  日志存放位置
 43 bootstrap.memory_lock: false  不在启动的时候锁定内存
 55 network.host: 0.0.0.0   监听任意地址
 59 http.port: 9200   开启端口
68 discovery.zen.ping.unicast.hosts: ["node1", "node2"] 集群发现通过单播实现

检查一下配置是否正确

[root@node2 elasticsearch]# grep -v "^#" elasticsearch.yml
cluster.name: my-elk-cluster
node.name: node1
path.data: /data/elk_data
path.logs:  /var/log/elasticsearch
bootstrap.memory_lock: false
network.host: 0.0.0.0
http.port: 9200
discovery.zen.ping.unicast.hosts: ["node1", "node2"]

创建数据存放路径并授权

[root@promote elasticsearch]# mkdir -p /data/elk_data
[root@promote elasticsearch]# chown elasticsearch.elasticsearch /data/elk_data/

开启服务并查看

[root@promote elasticsearch]# systemctl start elasticsearch.service 
[root@promote elasticsearch]# netstat -ntap | grep 9200
tcp6       0      0 :::9200                 :::*                    LISTEN      12008/java          

游览器查看

查看群集状态
http://192.168.136.88:9200/_cluster/health?pretty

Logstash数据处理引擎

上述查看群集方式，及其不方便，我们通过安装Elasticsearch-head插件管理群集
要用到3各安装包 elasticsearch-head，node-v8.2.1，phantomjs-2.1.1-linux-x86_64

安装编译node组件包

[root@promote opt]# yum -y install gcc gcc-c++

上传包到opt目录下并进行编译

[root@node2 ~]# tar zxvf node-v8.2.1.tar.gz -C /opt/
[root@node2 node-v8.2.1]# cd /opt/node-v8.2.1/
[root@node2 node-v8.2.1]# ./configure 
[root@node2 node-v8.2.1]# make
[root@node2 node-v8.2.1]# make install

(make -j3 ：j3取决于你的核心数越大越块)

安装数据可视化工具Kibana

安装phantomjs前端框架

上传包到opt目录下的src

[root@node2 ~]# cd /opt/
[root@promote opt]# tar jxvf  phantomjs-2.1.1-linux-x86_64.tar.bz2 -C /usr/local/src/

让系统可以识别

[root@node1 opt]# cd /usr/local/src/phantomjs-2.1.1-linux-x86_64/bin/
[root@node1 bin]# cp phantomjs /usr/local/bin/

安装elasticsearch-head数据可视化工具

解压安装包

[root@promote opt]# tar zxvf elasticsearch-head.tar.gz -C /usr/local/src/

开启

[root@promote elasticsearch-head]# cd /usr/local/src/elasticsearch-head/
[root@node2 node-v8.2.1]# npm install

修改配置文件

[root@promote elasticsearch-head]# vim /etc/elasticsearch/elasticsearch.yml
在结尾输入
http.cors.enabled: true      #开启跨域访问支持，默认为false
http.cors.allow-origin: "*"    #跨域访问允许的域名地址

开启服务

[root@promote elasticsearch-head]# cd /usr/local/src/elasticsearch-head/
[root@promote elasticsearch-head]# npm run start &

查看端口是否开启

[root@node2 elasticsearch-head]#  netstat -ntap | grep 9200
tcp6       0      0 :::9200                 :::*                    LISTEN      126980/java         
[root@node2 elasticsearch-head]#  netstat -ntap | grep 9100
tcp        0      0 0.0.0.0:9100            0.0.0.0:*               LISTEN      126677/grunt        
[root@node2 elasticsearch-head]# 

网页输入查看节点
真机上输入http://192.168.136.50:9100/验证

创建一个索引

索引为index-demo，类型为test，可以看到成功创建

curl -XPUT 'localhost:9200/index-demo/test/1?pretty&pretty' -H 'content-Type:application/json' -d '{"user":"zhangsan","mesg":"hello world"}'

{
  "_index" : "index-demo",
  "_type" : "test",
  "_id" : "1",
  "_version" : 1,
  "result" : "created",
  "_shards" : {
    "total" : 2,
    "successful" : 2,
    "failed" : 0
  },
  "created" : true
}

查看索引信息

分片形式查看（信息动作）

apache主机中安装logstash并做日志搜集

更改主机名

[root@localhost ~]# hostnamectl set-hostname apache
[root@localhost ~]# su

安装apache服务

root@apache ~]# yum -y install httpd
[root@apache ~]# systemctl start httpd

安装logstash，将logstash-5.5.1.rpm上传到/root目录下

[root@apache ~]# rpm -ivh logstash-5.5.1.rpm
[root@apache ~]# systemctl start logstash.service
[root@apache ~]# systemctl enable logstash.service
[root@apache ~]# ln -s /usr/share/logstash/bin/logstash /usr/local/bin/    #建立命令软链接

logstash（apache）与elasticsearch（node）功能是否正常，做对接测试

logstash命令选项解释：
-f：指定logstash的配置文件，根据配置文件配置logstash
-e：后面跟着字符串，该字符串可以被当做logstash的配置（如果是“ ”，则默认使用stdin做输入，stdout为输出）
-t：测试配置文件是否正确，然后退出
#输入采用标准输入，输出采用标准输出
[root@apache ~]# logstash -e 'input { stdin{} } output { stdout{} }'
...省略内容
10:01:04.460 [Api Webserver] INFO  logstash.agent - Successfully started Logstash API endpoint {:port=>9600}
www.taobao.com     #随便输入几个网站
2020-09-15T02:01:20.374Z apache www.taobao.com
www.test.com
2020-09-15T02:01:26.871Z apache www.test.com
www.baidu.com
2020-09-15T02:01:32.232Z apache www.baidu.com

使用rubydebug显示详细输出，codec为一种编解码器

[root@apache ~]# logstash -e 'input { stdin{} } output { stdout{ codec=>rubydebug } }'
...省略内容
10:05:18.420 [Api Webserver] INFO  logstash.agent - Successfully started Logstash API endpoint {:port=>9600}
www.baidu.com   《输入www.baidu.com》
{
    "@timestamp" => 2020-09-15T02:05:25.552Z,
      "@version" => "1",
          "host" => "apache",
       "message" => "www.baidu.com"
}

使用logstarsh将信息写入elasicsearch中（向主节点写入数据）

[root@apache ~]# logstash -e 'input { stdin {} } output { elasticsearch { hosts=>["192.168.136.88:9200"] } }'  

www.baidu.com      #输入内容测试
www.test.com
www.taobao.com

查看Elasticsearch中是否有数据写入

在apache主机中做对接配置

添加权限

[root@localhost ~]# cd /var/log/

[root@localhost log]# chmod o+r messages 

添加节点信息

[root@localhost conf.d]# cd /etc/logstash/conf.d/
input {
  file {
    path => "/var/log/messages"  ###读取的日志文件的路径
    type => "system"
    start_position => "beginning"   ###从开始行开始读
    }
  }
output {
  elasticsearch {
    hosts => ["192.168.136.40:9200"]  (指向node1)
    index => "system-%{+YYYY.MM.DD}" 
    }
  }

开启服务

[root@localhost conf.d]# systemctl restart logstash.service

可以看到节点已经添加

在node1主机安装kibana

.在node1主机安装kibana

上传kibana-5.5.1-x86_64.rpm到/usr/local/src
[root@node1 ~]# cd /usr/local/src/
[root@node1 src]# rpm -ivh kibana-5.5.1-x86_64.rpm
[root@node1 src]# cd /etc/kibana/
[root@node1 kibana]# cp kibana.yml kibana.yml.bak
[root@node1 kibana]# vim kibana.yml
第2行：server.port: 5601           #kibana打开的端口
第7行：server.host: "0.0.0.0"     #kibana侦听的地址
第21行：elasticsearch.url: "http://14.0.0.10:9200"    #和elasticsearch建立联系
第30行：kibana.index: ".kibana"     #在elasticsearch中添加.kibana索引
[root@node1 kibana]# systemctl start kibana.service  #启动kibana服务
[root@node1 kibana]# systemctl enable kibana.service  #开机启动kibana服务

服务界面已开启

浏览器中登录192.168.136.60:5601，首次登录提示创建一个索引名字

查看kibana索引联系

在apcher上配置

添加logstash配置，收集apache服务的访问日志和错误日志中的数据（地址写node1）

[root@apache conf.d]# cd /etc/logstash/conf.d/
input {
        file {
          path => "/etc/httpd/logs/access_log"
          type => "access"
          start_position => "beginning"
        }

        file {
          path => "/etc/httpd/logs/error_log"
          type => "error"
          start_position => "beginning"
        }
   }
output {
        if [type] == "access" {
          elasticsearch {
            hosts => ["192.168.136.50:9200"]
            index => "apache_access-%{+YYY.MM.dd}"
          }
        }
        if [type] == "error" {
          elasticsearch {
            hosts => ["192.168.136.50:9200"]
            index => "apache_error-%{+YYY.MM.dd}"
          }
        }
    }
[root@apache conf.d]# logstash -f apache_log.conf
           #指定logstash的配置文件，根据apache_log.conf配置logstash（-f可以不重启加载）

查看apache节点

kibana中添加刚才elasticsearch中新建的索引，可以以更加人性化的视图界面查看、分析日志，步骤如下

查看kibana中apache节点的访问信息

创建索引

查看apache日志

ELK日志分析系统是一款非常强大的日志分析工具，能够帮助运维工程师更快更准确的定位到想要的日志，特别是kibana可视化工具，功能强大，使用起来非常人性化。