ELK 企业项目实战

ELK：日志收集平台
ELK由ElasticSearch、Logstash、Kibana三个开源工具组成。

1.组件介绍

1.1Elasicsearch

ElasticSearch是哟个基于Lucene的开源分布式搜索服务。至搜索和分析日志。 特点：分布式，零配置，自动发现，索引自动分片，索引副本机制，多数据源等。 它提供了一个分布式多用户能力的全文搜索引擎。Elasticsearch是用java开发的，并作为Apache许可条款下的开放源码发布，是第二流行的企业搜索引擎。设计用于云计算中，能够达到实施搜索，稳定，可靠，快速，安装使用方便。在Elasticsearch中，所有节点的数据都是均等的。
索引：索引（库）—>类型（表）—>文档/日志（记录）

1.2Logstash

Logstash是一个完全开源的工具，可以对你的日志进行收集，过滤，分析，并将其存储供以后使用（如搜索），logstash带有一个web界面，搜索和展示所有日志。只收集和过滤日志，和改格式。
简单来说，logstash就是一根具备实时数据传输能力的管道，负责将数据信息从管道的输入端传输到管道的输出端；与此同时这根管道还可以让你根据自己的需求在中间加上滤网，logstash提供分舵功能强大的滤网以满足你的各种应用场景。
logstash的事件（logstash将数据流中每一条数据称之为一个event）处理流水线有三个主要角色完成：inputs —> filters —> outputs

logstash整个工作流分为三个阶段：输入，过滤，输出。每个阶段都有强大的插件提供支持：

Input必须，负责产生事件（Inputs generate events），常用的插件有：

• file 从文件系统收集数据
• syslog 从syslog日志收集数据
• redis 从redis收集日志
• beats 从beats family收集日志（如：filebeats）

Filter常用的插件，负责数据处理和转换（filters modify them）

• grok 是logstash中最常用的日志解释和结构化插件。grok是一种采用组合多个预定义的正则表达式，用来匹配分割文本并映射到关键字的工具。
• mutate 支持事件的变换，例如重命名、移除、替换、修改等。
• drop 完全丢弃事件。
• clone 克隆事件。

Output输出，负责数据输出（outputs ship them elsewhere），常用的插件有：

• elasticsearch 把数据输出到elasticsearch
• file 把数据输出为普通的文件。

1.3Kibana

Kibana是一个基于浏览器页面的Elasticsearch前段展示工具，也hi一个开源和免费的工具，Kibana可以为Logstash和ElasticSearch提供的日志分析友好的Web界面，可以帮你汇总、分析、和搜索中烟数据日志。

2.环境介绍

安装软件	主机名	IP地址	系统版本/内存
elasticsearch/	mes-1-zk	192.168.246.234	centos7.4/3G
zookeeper/kafka/logstash	es-2-zk-log	192.168.246.231	centos7.4/2G
head/kibana	es-3-head-kib-zk-File	192.168.246.235	centos7.4/2G

所有机器关闭防火墙，selinux

3.版本说明

Elasticsearch: 6.5.4  
#https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.5.4.tar.gz
Logstash: 6.5.4  
#https://artifacts.elastic.co/downloads/logstash/logstash-6.5.4.tar.gz
Kibana: 6.5.4  
#https://artifacts.elastic.co/downloads/kibana/kibana-6.5.4-linux-x86_64.tar.gz
Kafka: 2.11-2.1  
#https://archive.apache.org/dist/kafka/2.1.0/kafka_2.11-2.1.0.tgz
Filebeat: 6.5.4
#相应的版本最好下载对应的插件

官网地址：https://www.elastic.co
官网搭建：https://www.elastic.co/guide/index.html

4.Elasticsearch部署

系统类型：Centos7.5
节点IP：172.16.246.234 
软件版本：jdk-8u191-linux-x64.tar.gz、elasticsearch-6.5.4.tar.gz
示例节点：172.16.246.234  

4.1安装配置jdk8

ES运行依赖jdk8
三台机器都上传jdk

[root@mes-1 ~]# tar xzf jdk-8u191-linux-x64.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/
[root@mes-1 local]# mv jdk1.8.0_191/ java
[root@mes-1 local]# echo '
JAVA_HOME=/usr/local/java
PATH=$JAVA_HOME/bin:$PATH
export JAVA_HOME PATH
' >>/etc/profile
[root@mes-1 ~]# source /etc/profile
[root@mes-1  local]# java -version
java version "1.8.0_211"
Java(TM) SE Runtime Environment (build 1.8.0_211-b12)
Java HotSpot(TM) 64-Bit Server VM (build 25.211-b12, mixed mode)

4.2安装配置ES

• 1.创建运行ES的普通用户

[root@mes-1 ~]# useradd elsearch
[root@mes-1 ~]# echo "123456" | passwd --stdin "elsearch"

• 2.安装配置ES

[root@mes-1 ~]# tar xzf elasticsearch-6.5.4.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/elasticsearch-6.5.4/config/
[root@mes-1 config]# ls
elasticsearch.yml  log4j2.properties  roles.yml  users_roles
jvm.options        role_mapping.yml   users
[root@mes-1 config]# cp elasticsearch.yml elasticsearch.yml.bak
[root@mes-1 config]# vim elasticsearch.yml    
---找个地方添加如下内容---
cluster.name: elk
node.name: elk01
node.master: true
node.data: true
path.data: /data/elasticsearch/data
path.logs: /data/elasticsearch/logs
bootstrap.memory_lock: false
bootstrap.system_call_filter: false
network.host: 0.0.0.0
http.port: 9200
#discovery.zen.ping.unicast.hosts: ["192.168.246.234", "192.168.246.231","192.168.246.235"]
#ES如果做集群的三个IP

#discovery.zen.minimum_master_nodes: 2
#discovery.zen.ping_timeout: 150s
#discovery.zen.fd.ping_retries: 10
#client.transport.ping_timeout: 60s
http.cors.enabled: true
http.cors.allow-origin: "*"
---最后两行粘贴后默认会注释掉，记得打开。---

配置项含义：

cluster.name    集群名称，各节点配成相同的集群名称。
node.name       节点名称，各节点配置不同。
node.master     指示某个节点是否符合成为主节点的条件。
node.data       指示节点是否为数据节点。数据节点包含并管理索引的一部分。
path.data       数据存储目录。
path.logs       日志存储目录。
bootstrap.memory_lock       内存锁定，是否禁用交换。
bootstrap.system_call_filter    系统调用过滤器。
network.host    绑定节点IP。
http.port       端口。
discovery.zen.ping.unicast.hosts    提供其他 Elasticsearch 服务节点的单点广播发现功能。
discovery.zen.minimum_master_nodes  集群中可工作的具有Master节点资格的最小数量，官方的推荐值是(N/2)+1，其中N是具有master资格的节点的数量。
discovery.zen.ping_timeout      节点在发现过程中的等待时间。
discovery.zen.fd.ping_retries        节点发现重试次数。
http.cors.enabled               是否允许跨源 REST 请求，用于允许head插件访问ES。
http.cors.allow-origin              允许的源地址。

• 3.设置JVM堆大小

[root@mes-1 config]# vim jvm.options     
-Xms1g    -----修改成 -Xms2g
-Xmx1g    -----修改成 -Xms2g

或者:
推荐设置为4G，请注意下面的说明：
sed -i 's/-Xms1g/-Xms4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options
sed -i 's/-Xmx1g/-Xmx4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options

注意：
确保堆内存最小值（Xms）与最大值（Xmx）的大小相同，防止程序在运行时改变堆内存大小。
堆内存大小不要超过系统内存的50%

• 4.创建ES数据及日志存储目录

[root@mes-1 ~]# mkdir -p /data/elasticsearch/data
[root@mes-1 ~]# mkdir -p /data/elasticsearch/logs   

• 5.修改安装目录及存储目录权限

[root@mes-1 ~]# chown -R elsearch:elsearch /data/elasticsearch
[root@mes-1 ~]# chown -R elsearch:elsearch /usr/local/elasticsearch-6.5.4

4.3系统优化

• 1.增加最大文件打开数

[root@mes-1 ~]# echo "* - nofile 65536" >> /etc/security/limits.conf

• 2.增加最大进程数

[root@mes-1 ~]# vim /etc/security/limits.conf    
---在文件最后面添加如下内容---
* soft nofile 65536
* hard nofile 131072
* soft nproc 2048
* hard nproc 4096
---更多的参数调整可以直接用这个---

解释：
soft xxx : 代表警告的设定，可以超过这个设定值，但是超过后会有警告。
hard xxx : 代表严格的设定，不允许超过这个设定的值。
nofile : 是每个进程可以打开的文件数的限制
nproc : 是操作系统级别对每个用户创建的进程数的限制

• 3.增加最大内存映射数

[root@mes-1 ~]# vim /etc/sysctl.conf   
---添加如下---
vm.max_map_count=262144
vm.swappiness=0
[root@mes-1 ~]# sysctl -p

解释：在内存不足的情况下，使用交换空间。
增大用户使用内存的空间(永久)
或者：
[root@mes-1 ~]# sysctl -w vm.max_map_count=262144
增大用户使用内存的空间(临时)

• 4.启动如果报以下错误

memory locking requested for elasticsearch process but memory is not locked
elasticsearch.yml文件
bootstrap.memory_lock : false
/etc/sysctl.conf文件
vm.swappiness=0

错误:
max file descriptors [4096] for elasticsearch process is too low, increase to at least [65536]

意思是elasticsearch用户拥有的客串建文件描述的权限太低，知道需要65536个

解决：
切换到root用户下面，

#vim /etc/security/limits.conf
---在最后添加---
* hard nofile 65536
* hard nofile 65536

重新启动elasticsearch，还是无效？
必须重新登录启动elasticsearch的账户才可以，例如我的账户名是elasticsearch，退出重新登录。
另外*也可以换为启动elasticsearch的账户也可以，* 代表所有，其实比较不合适。

启动还会遇到另外一个问题，就是
max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]
意思是：elasticsearch用户拥有的内存权限太小了，至少需要262114。这个比较简单，也不需要重启，直接执行。

# sysctl -w vm.max_map_count=262144

4.4启动ES

[root@mes-1 ~]# su - elsearch
Last login: Sat Aug  3 19:48:59 CST 2019 on pts/0
[root@mes-1 ~]$ cd /usr/local/elasticsearch-6.5.4/
[root@mes-1 elasticsearch-6.5.4]$ ./bin/elasticsearch  
#先启动看看报错不，需要多等一会（可以不做这一步）
#终止之后
[root@mes-1 elasticsearch-6.5.4]$ nohup ./bin/elasticsearch &  
#放后台启动，回车
[1] 11462
nohup: ignoring input and appending output to ‘nohup.out’
[root@mes-1 elasticsearch-6.5.4]$ tail -f nohup.out   
#看一下是否启动

或者:
[root@mes-1 ~]# su - elsearch -c "cd /usr/local/elasticsearch-6.5.4 && nohup bin/elasticsearch &"

测试：浏览器访问http://172.16.246.234:9200

4.5安装配置head监控插件（Web前端）

• 1.安装node

[root@es-3-head-kib ~]# wget https://npm.taobao.org/mirrors/node/latest-v4.x/node-v4.4.7-linux-x64.tar.gz
[root@es-3-head-kib ~]# tar -zxf node-v4.4.7-linux-x64.tar.gz –C /usr/local
[root@es-3-head-kib ~]# vim /etc/profile   
---添加如下变量---
NODE_HOME=/usr/local/node-v4.4.7-linux-x64
PATH=$NODE_HOME/bin:$PATH
export NODE_HOME PATH
[root@es-3-head-kib ~]# source /etc/profile