ELK

systemctl stop firewalld
yum install lrz* -y 安装上传下载的插件

对上传的压缩包进行解压：
tar xf jdk-8u144-linux-x64.tar.gz -C /opt/
tar xf kibana-6.2.3-linux-x86_64.tar.gz -C /opt/
tar xf logstash-6.2.3.tar.gz -C /opt/
tar xf elasticsearch-6.2.3.tar.gz -C /opt/

搭建java环境
cd /opt/
cp -r jdk1.8.0_144/ /usr/local/java

vi /etc/profile 在其配置文件最后面添加java的环境变量
export JAVA_HOME=/usr/local/java
export JRE_HOME=/usr/local/java/jre
export PATH=$PATH:/usr/local/java/bin
export CLASSPATH=./:/usr/local/java/lib:/usr/local/java/jre/lib
source /etc/profile

java -version 查看java版本信息

创建用户

ElasticSerach要求以非root身份启动，所以要创建一个用户：

创建用户和组：groupadd elasticsearch
useradd -g elasticsearch elasticsearch

mkdir /usr/local/work

cp -rf elasticsearch-6.2.3/ /usr/local/work/
chown -R elasticsearch.elasticsearch /usr/local/work/elasticsearch-6.2.3设置归属

vi /etc/hostname 更改主机名
elk-server

vi /etc/security/limits.conf 在其最末端新增以下内容（*与单词之间有空格）
*soft nofile 65536
*hard nofile 131072
*soft nproc 2048
*hard nproc 4096

vi /etc/sysctl.conf 在其最末端新增以下内容
vm.max_map_count=655360

sysctl -p

重启电脑

启动ElasticSerach

su elasticsearch
cd /usr/local/work/elasticsearch-6.2.3
bin/elasticsearch -d
tail -f /usr/local/work/elasticsearch-6.2.3/logs/elasticsearch.log

切换到root
curl 127.0.0.1:9200 出现以下内容，代表服务启动

{ “name” : “MNb1nGq”,
“cluster_name” : “elasticsearch”,
“cluster_uuid” : “ZHkI7PCQTnCqMBM6rhyT5g”,
“version” : {
“number” : “6.2.3”,
“build_hash” : “c59ff00”,
“build_date” : “2018-03-13T10:06:29.741383Z”,
“build_snapshot” : false, “lucene_version” : “7.2.1”, “minimum_wire_compatibility_version” : “5.6.0”, “minimum_index_compatibility_version” : “5.0.0”
},
“tagline” : “You Know, for Search”
}
至此，ElasticSerach服务启动成功，接下来是Logstash

cd /opt/
配置和启动Logstash
cp -rf logstash-6.2.3/ /usr/local/work/
cd /usr/local/work/logstash-6.2.3

vi default.conf
input {
beats {
port => “5044”
}
file{
path => ["/usr/local/work/logstash-6.2.3/logs/logstash-plain.log"]
type => “logstash_log”
start_position => “beginning”
}
}
filter {
grok {
match => { “message” => “%{COMBINEDAPACHELOG}” }
}
geoip {
source => “clientip”
}
}
output {
elasticsearch {
hosts => [“127.0.0.1:9200”]
}
}

bin/logstash -f default.conf

tail -f logs/logstash-plain.log

配置和启动Kibana
cd /opt/
cp -rf kibana-6.2.3-linux-x86_64/ /usr/local/work/
cd /usr/local/work/kibana-6.2.3-linux-x86_64/

vi config/kibana.yml
server.host: “192.168.80.102”
server.port: “5601”

nohup bin/kibana &

tail -f nohup.out

在浏览器访问http://192.168.80.102:5601
至此，ELK服务启动成功

将业务日志上报上来，需要操作另一台电脑：nginx-server(192.168.80.103)
安装配置nginx(需要联网)
安装nginx和http用户认证工具

yum -y install epel-release
yum -y install nginx httpd-tools

修改nginx配置
cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak
systemctl start nginx

filebeat 收集日志的工具
tar xf filebeat-6.2.3-linux-x86_64.tar.gz -C /opt

mkdir /usr/local/work/
cp /opt/filebeat-6.2.3-linux-x86_64 /usr/local/work/
cd /usr/local/work/filebeat-6.2.3-linux-x86_64/

vi filebeat.yml 需要修改以下内容：
enabled: true

-/var/log/.log => - /usr/local/nginx/logs/.log

output.elasticsearch: 前面加一个“#”注释掉

hosts: [“localhost:9200”] 前面加一个“#” 注释掉

#output.logstash 去掉注释符号

#host: [“localhost:5044”] 去掉注释符号，并修改为[“192.168.80.102:5044”]

启动FileBeat：./filebeat -e -c filebeat.yml -d “publish”

创建Index Patterns
通过浏览器多访问几次nginx服务，这样能多制造一些访问日志
访问Kibana：http://192.168.80.102:5601
点击左上角的Discover
可以看到访问日志已经被ELK搜集了
输入logstash-*，点击”Next step”
选择Time Filter，再点击“Create index pattern”
点击左上角的”Discover”按钮，即可看到最新的日志信息