graylog2 实践

安装

docker run -d -p 9000:9000 -p 12201:12201 graylog2/allinone
参考官方文档:
http://docs.graylog.org/en/latest/pages/installation/docker.html
https://hub.docker.com/r/graylog2/allinone/

测试

docker集成.

可以在docker运行时添加(记得在web上的system–>input里面增加glef udp)

docker run -it  --log-driver=gelf  --log-opt gelf-address=tcp://x.x.x.x:12201 --log-opt tag="test" ubuntu /bin/bash

参考https://docs.docker.com/engine/reference/logging/overview/

java集成

通过logback很方便
参考
https://marketplace.graylog.org/addons/7ea104bd-519d-4140-a396-ff962314415e#logback

## 什么是graylog Graylog 是一个简单易用、功能较全面的日志管理工具,相比 ELK 组合, 优点: - 部署维护简单 - 查询语法简单易懂(对比ES的语法…) - 内置简单的告警 - 可以将搜索结果导出为 json - 提供简单的聚合统计功能 - UI 比较友好 - 当然, 拓展性上比 ELK 差很多。 整套依赖: - Graylog 提供 graylog 对外接口 - Elasticsearch 日志文件的持久化存储和检索 - MongoDB 只是存储一些 Graylog 的配置 ## 安装 > 可以是裸机安装,也可以是docker安装,这里用docker安装 环境要求: - centos7.4 - cpu2个 内存2G 参考: https://hub.docker.com/r/graylog2/graylog/ ### 环境准备 ``` mkdir /root/graylog && cd /root/graylog //挂载目录 mkdir -p mongo_data graylog_journal es_data //配置文件目录 mkdir -p ./graylog/config cd ./graylog/config wget https://raw.githubusercontent.com/Graylog2/graylog-docker/3.0/config/graylog.conf wget https://raw.githubusercontent.com/Graylog2/graylog-docker/3.0/config/log4j2.xml //提前准备镜像 docker pull mongo:3 docker pull graylog/graylog:3.0 docker pull elasticsearch:5.6.9 ``` ### docker-compose.yml ``` version: '2' services: # MongoDB: https://hub.docker.com/_/mongo/ mongo: image: mongo:3 volumes: - ./mongo_data:/data/db - /etc/localtime:/etc/localtime # Elasticsearch: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/docker.html elasticsearch: image: elasticsearch:5.6.9 volumes: - ./es_data:/usr/share/elasticsearch/data - /etc/localtime:/etc/localtime environment: - http.host=0.0.0.0 - transport.host=localhost - network.host=0.0.0.0 # Disable X-Pack security: https://www.elastic.co/guide/en/elasticsearch/reference/5.5/security-settings.html#general-security-settings - xpack.security.enabled=false - "ES_JAVA_OPTS=-Xms512m -Xmx512m" ulimits: memlock: soft: -1 hard: -1 mem_limit: 1g # Graylog: https://hub.docker.com/r/graylog/graylog/ graylog: image: graylog/graylog:3.0 volumes: - ./graylog_journal:/usr/share/graylog/data/journal - ./graylog/config:/usr/share/graylog/data/config - /etc/localtime:/etc/localtime environment: # CHANGE ME! - GRAYLOG_PASSWORD_SECRET=somepasswordpepper # Password: admin - GRAYLOG_ROOT_PASSWORD_SHA2=8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918 # 这里需要修改为要暴露的机器的地址 - GRAYLOG_HTTP_EXTERNAL_URI=http://10.121.60.2:9000/ links: - mongo - elasticsearch ports: # Graylog web interface and REST API - 9000:9000 # Syslog TCP - 514:514 # Syslog UDP - 514:514/udp # GELF TCP - 12201:12201 # GELF UDP - 12201:12201/udp # GELF HTTP - 12202:12202 ``` ### 启动 `docker-compose -f docker-compose.yml up -d` 通过http://10.121.60.2:9000/访问web,admin/admin ### 修改配置 - email相关(告警需要) ``` transport_email_enabled = true transport_email_hostname = smtp.163.com transport_email_port = 994 transport_email_use_auth = true transport_email_use_tls = true transport_email_use_ssl = true transport_email_auth_username = 17191093767@163.com transport_email_auth_password = zhim123456 transport_email_subject_prefix = [graylog] transport_email_from_email = 17191093767@163.com transport_email_web_interface_url = http://10.121.60.2:9000 ``` ## 使用 ### 配置添加Inputs > Graylog 节点能够接受数据的类型称之为input,常见的有GELF TCP, GELF UDP, GELF HTTP. 说明:GELF TCP, GELF UDP可以使用同一个端口,HTTP需要另起端口,原因不解释。 - 添加三个input,过程略,tcp,udp端口使用默认的12201,http端口使用12202- 验证 ``` // udp echo -n '{ "version": "1.1", "host": "example.org", "short_message": "A short message info with udp", "level": 1, "_some_info": "foo", "_tag": "test11" }' | nc -w10 -u 10.121.60.2 12201 // tcp echo -n -e '{ "version": "1.1", "host": "example.org", "short_message": "A short message with tcp", "level": 1, "_some_info": "foo" }'"\0" | nc -w10 10.121.60.2 12201 //http curl -X POST -H 'Content-Type: application/json' -d '{ "version": "1.1", "host": "example.org", "short_message": "A short message with http", "level": 5, "_some_info": "foo" }' 'http://10.121.60.2:12202/gelf' ``` ### docker 日志添加到graylog ``` docker run --log-driver=gelf \ --log-opt gelf-address=udp://10.121.60.2:12201 \ --log-opt tag=test1 \ -v /etc/localtime:/etc/localtime \ -it nginx /bin/bash ``` docker-compose.yaml ``` services: mongo: logging: driver: "gelf" options: gelf-address: "udp://10.121.60.2:12201" tag: mongo volumes: - /etc/localtime:/etc/localtime ``` ### java日志直接发送到graylog > 使用logback ``` 10.121.60.2 12201 <!--An example of overwriting the short message pattern--> %ex{short}%.100m <!-- Use HTML output of the full message. Yes, any layout can be used (please don't actually do this)--> %d{MM-dd HH:mm:ss.SSS} [%thread] %-5level \(%F:%L\) - %msg %n true true true true requestId:long <!--Facility is not officially supported in GELF anymore, but you can use staticFields to do the same thing--> tag business-server ``` ## 系统使用 功能菜单说明 - search 日志查询面板 ![](assets/2018-07-10-11-52-07.png) - streams 将日志对象按照filed定义为stream,默认的stream为all messages ![](assets/2018-07-10-11-52-22.png) - alerts 告警相关,选择一个stream对象定义告警条件和通知方式,当stream里面的日志满足条件时候告警并通知 ![](assets/2018-07-10-11-52-35.png) - dashboards 图形面板 ![](assets/2018-07-10-11-52-53.png) - source 告警所在主机 ![](assets/2018-07-10-11-53-37.png) - system 系统配置 ![](assets/2018-07-10-11-53-52.png) ### 查询条件 [官方说明文档](http://docs.graylog.org/en/3.0/pages/queries.html) > 关键字不分大小写 - 单个关键字查询 `ssh` - 多关键字查询,含有ssh or login `ssh login` - 含有某个字符串查询 `ssh login` - 同时含有多个关键字查询 `opening index" AND db` - 根据字段值查询 `tag:couchdb.peer0.org1.ygsoft.com` - 含有多个tag的查询,某条记录只要其中一个字段满足即可 ``` tag: (orderer.ygsoft.com couchdb.peer0.org1.ygsoft.com) or tag: orderer.ygsoft.com couchdb.peer0.org1.ygsoft.com ``` - 含有完全匹配字段 `tag:"ssh login"` - 含有某个字段的记录: `_exists_:tag` - 不含有某个字段的记录: `NOT _exists_:tag` - AND OR `"ssh login" AND source:example.org` `("ssh login" AND (source:example.org OR source:another.example.org)) OR _exists_:always_find_me` - NOT ``` "ssh login" AND NOT source:example.org NOT example.org ``` 注意: AND, OR, and NOT 只能大写. - 通配符 ? 表示单个字符 星号表示0个和多个字符 ``` source:*.org source:exam?le.org source:exam?le.* ``` 注意:默认首字母不能使用通配符,因为这样会使用大量的内存;强行开启修改配置文件`allow_leading_wildcard_searches = true` - 当某关键字不确认顺序的时候使用~ ``` ssh logni~ source:exmaple.org~ 结果可以匹配 ssh login and example.org ``` - 以下字符在使用的时候必须用反斜杠转义 ``` && || : \ / + - ! ( ) { } [ ] ^ " ~ * ? Example: resource:\/posts\/45326 ``` ### 查询条件可以保存下来 使用 save search criteria 按钮
<think>我们正在处理用户关于Graylog的安装配置和使用指南的请求。根据提供的引用材料,我们可以整合以下信息:引用[1]提到了一个GraylogAnsibleRole项目,可用于自动化安装和配置Graylog。引用[2]介绍了GraylogSlack插件的安装,并提到Graylog的启动方式(如systemd服务)以及插件放置的目录。引用[3]展示了Graylog的进程信息、JVM参数配置以及端口使用情况,并提到一个关于非root用户启动导致端口绑定失败的问题(建议更换端口而非使用root启动)。因此,我们可以为用户提供Graylog安装配置的基本步骤,包括使用AnsibleRole自动化安装、手动安装要点、插件安装方法以及常见问题解决(如端口冲突)。由于用户要求的是指南,我们将分步骤进行说明,并注意以下几点:1.安装前的准备(如系统要求、依赖环境)2.安装方法(手动安装和自动化安装)3.基本配置(配置文件说明、Web界面访问)4.插件安装5.启动和停止服务6.常见问题处理同时,我们将生成相关问题供用户进一步探索。注意:由于引用材料有限,我们将基于Graylog的一般安装配置知识进行回答,并尽可能结合引用材料中的信息。</think>### Graylog 安装配置与使用指南 #### 一、安装准备 1. **系统要求** - 推荐 Linux 系统(CentOS/Ubuntu) - Java 环境:OpenJDK 11 或更高版本 - 内存:生产环境建议 ≥ 8GB - 存储:根据日志量配置(SSD 推荐) 2. **依赖组件** ```bash # MongoDB 安装(存储配置数据) sudo apt-get install -y mongodb-org # Ubuntu sudo systemctl enable mongod # Elasticsearch 安装(日志存储与检索) wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.x.deb sudo dpkg -i elasticsearch-7.x.deb ``` #### 二、Graylog 安装方法 **方法1:手动安装** ```bash # 下载 Graylog 服务端 wget https://packages.graylog2.org/repo/packages/graylog-4.3-repository_latest.deb sudo dpkg -i graylog-4.3-repository_latest.deb sudo apt-get update && sudo apt-get install graylog-server ``` **方法2:Ansible 自动化部署(推荐)[^1]** ```yaml # 示例 playbook - hosts: logserver roles: - role: graylog.graylog vars: graylog_version: "4.3" graylog_password_secret: "生成32位密钥" graylog_root_password_sha2: "echo -n '密码' | sha256sum" ``` #### 三、核心配置 1. **配置文件路径** `/etc/graylog/server/server.conf` 2. **关键参数** ```conf password_secret = # 32字符随机字符串 root_password_sha2 = # admin密码的SHA256哈希 http_bind_address = 0.0.0.0:9000 # Web界面端口 elasticsearch_hosts = http://localhost:9200 ``` 3. **启动服务** ```bash sudo systemctl daemon-reload sudo systemctl enable graylog-server sudo systemctl start graylog-server ``` #### 四、基本使用 1. **访问控制台** `http://服务器IP:9000` → 使用配置的 admin 密码登录 2. **配置输入源** - Syslog/UDP:创建 Input → 选择 Syslog UDP → 指定端口(如 514) - Beats/Filebeat:选择 Beats input → 开放 5044 端口 3. **日志搜索语法** ```sql source:firewall AND level:5 # 多条件筛选 response_time:[100 TO *] # 范围查询 "connection timeout"~5 # 模糊匹配 ``` #### 五、常见问题解决 1. **端口冲突问题** ```bash # 检查端口占用(引用[3]案例) netstat -tuln | grep 514 # 解决方案:修改配置中的冲突端口 ``` 2. **内存优化建议** ```conf # 调整JVM参数(引用[3]) -Xms4g -Xmx8g # 根据物理内存调整 ``` 3. **插件安装** ```bash # 下载插件到指定目录 cp slack-plugin.jar /usr/share/graylog-server/plugin/ systemctl restart graylog-server # 重启生效[^2] ``` #### 六、最佳实践 1. **日志保留策略** - Elasticsearch 索引设置生命周期策略 - 按时间自动归档/删除旧日志 2. **高可用部署** - Graylog 节点 ≥ 3(避免单点故障) - Elasticsearch 集群部署 - MongoDB 副本集 > **提示**:生产环境建议使用 HTTPS 加密控制台访问,通过 Nginx 配置 SSL 证书并代理 9000 端口。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值