ELK+kafka+filebeat7.8.0监控nginx和tomcat

ELK+kafka+filebeat7.8.0监控nginx和tomcat

 

环境介绍：

 

安装软件	主机名	IP地址	系统版本
Elasticsearch/kafka	es-kafka	10.8.161.2	centos7.4--4G
head/Kibana/kafka	head-kibana-kafka	10.8.161.5	centos7.4--2G
zookeeper/kafka/Logstash	zoo-kafka-logstash	10.8.161.56	centos7.4---2G

 

实施部署

1、 Elasticsearch部署

软件版本：jdk-8u191-linux-x64.tar.gz、elasticsearch-7.8.0.tar.gz

1、安装配置jdk8

es运行依赖jdk8

[root@mes-1 ~]# tar xzf jdk-8u191-linux-x64.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/
[root@mes-1 local]# mv jdk1.8.0_191/ java
[root@mes-1 local]# echo '
JAVA_HOME=/usr/local/java
PATH=$JAVA_HOME/bin:$PATH
export JAVA_HOME PATH
' >>/etc/profile
[root@mes-1 ~]# source /etc/profile
[root@mes-1  local]# java -version
java version "1.8.0_211"
Java(TM) SE Runtime Environment (build 1.8.0_211-b12)
Java HotSpot(TM) 64-Bit Server VM (build 25.211-b12, mixed mode)

2、安装配置ES----只在第一台操作操作下面的部分

（1）创建运行ES的普通用户--默认不让root登录

[root@mes-1 ~]# useradd elsearch
[root@mes-1 ~]# echo "123456" | passwd --stdin "elsearch"

 

（2）安装配置ES

[root@mes-1 ~]# tar xzf elasticsearch-7.8.0.tar.gz -C /usr/local/
[root@mes-1 ~]# cd /usr/local/elasticsearch-7.8.0/config/
[root@mes-1 config]# ls
elasticsearch.yml  log4j2.properties  roles.yml  users_roles
jvm.options        role_mapping.yml   users
[root@mes-1 config]# cp elasticsearch.yml elasticsearch.yml.bak

[root@mes-1 config]# vim elasticsearch.yml    ----找个地方添加如下内容
cluster.name: elk
node.name: elk01
node.master: true    #es集群（三台），只需有一个主节点就好
node.data: true      #es集群，只需要有两个记录日志
path.data: /data/elasticsearch/data
path.logs: /data/elasticsearch/logs
bootstrap.memory_lock: false
bootstrap.system_call_filter: false
network.host: 0.0.0.0
http.port: 9200
#做es集群时需要打开心跳检测
#discovery.zen.ping.unicast.hosts: ["10.8.161.2", "10.8.161.5","10.8.161.56"]  #es集群的IP地址，ping 心跳检测
#discovery.zen.minimum_master_nodes: 2   #es集群的主节点数
#discovery.zen.ping_timeout: 150s    #心跳检测的超时时间
#discovery.zen.fd.ping_retries: 10    #心跳检测失败，重试的次数
#client.transport.ping_timeout: 60s   #客户端连接的超时时间
http.cors.enabled: true
http.cors.allow-origin: "*"
#最后两行复制上后会自动被注释，需要删掉注释符号
cluster.initial_master_nodes: ["elk01"]   #7.8版本需要加上

即为：

cluster.name: elk
node.name: elk01
node.master: true
node.data: true
path.data: /data/elasticsearch/data
path.logs: /data/elasticsearch/logs
bootstrap.memory_lock: false
bootstrap.system_call_filter: false
network.host: 0.0.0.0
http.port: 9200
#discovery.zen.ping.unicast.hosts: ["*"] 
##discovery.zen.minimum_master_nodes: 2 
##discovery.zen.ping_timeout: 150s 
##discovery.zen.fd.ping_retries: 10 
##client.transport.ping_timeout: 60s 
http.cors.enabled: true
http.cors.allow-origin: "*"
cluster.initial_master_nodes: ["elk01"]

配置项含义：

cluster.name        集群名称，各节点配成相同的集群名称。
node.name       节点名称，各节点配置不同。
node.master     指示某个节点是否符合成为主节点的条件。是否为主节点
node.data       指示节点是否为数据节点。数据节点包含并管理索引的一部分。是否存放数据
path.data       数据存储目录。  需要创建该目录
path.logs       日志存储目录。
bootstrap.memory_lock       内存锁定，是否禁用交换。内存不够用时，会使用交换分区，不能禁用
bootstrap.system_call_filter    系统调用过滤器。
network.host    绑定节点IP。
http.port       端口。
discovery.zen.ping.unicast.hosts    提供其他 Elasticsearch 服务节点的单点广播发现功能。
discovery.zen.minimum_master_nodes  集群中可工作的具有Master节点资格的最小数量，官方的推荐值是(N/2)+1，其中N是具有master资格的节点的数量。
discovery.zen.ping_timeout      节点在发现过程中的等待时间。
discovery.zen.fd.ping_retries        节点发现重试次数。
http.cors.enabled               是否允许跨源 REST 请求，表示支持所有域名，用于允许head插件访问ES。 查看ES集群中数据（索引）需要用head插件
http.cors.allow-origin              允许的源地址。可写固定的IP

 

（3）设置JVM堆大小

[root@mes-1 config]# vim jvm.options     ----将
-Xms1g    ----修改成 -Xms2g
-Xmx1g    ----修改成 -Xms2g

或者:
推荐设置为4G，请注意下面的说明：改成物理内存大小的一半
sed -i 's/-Xms1g/-Xms4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options
sed -i 's/-Xmx1g/-Xmx4g/' /usr/local/elasticsearch-6.5.4/config/jvm.options

注意： 确保堆内存最小值（Xms）与最大值（Xmx）的大小相同，防止程序在运行时改变堆内存大小。 堆内存大小不要超过系统内存的50%

（4）创建ES数据及日志存储目录

[root@mes-1 ~]# mkdir -p /data/elasticsearch/data       (/data/elasticsearch)
[root@mes-1 ~]# mkdir -p /data/elasticsearch/logs       (/log/elasticsearch)

（5）修改安装目录及存储目录权限

[root@mes-1 ~]# chown -R elsearch.elsearch /data/elasticsearch                #递归修改
[root@mes-1 ~]# chown -R elsearch:elsearch /usr/local/elasticsearch-6.5.4     #es安装目录

3、系统优化

（1）增加最大文件打开数

永久生效方法：

echo "* - nofile 65536" >> /etc/security/limits.conf

 

（2）增加最大进程数

[root@mes-1 ~]# vim /etc/security/limits.conf    ---在文件最后面添加如下内容
* soft nofile 65536
* hard nofile 131072
* soft nproc 2048
* hard nproc 4096
更多的参数调整可以直接用这个

解释：
soft  xxx  : 代表警告的设定，可以超过这个设定值，但是超过后会有警告。继续会处理
hard  xxx  : 代表严格的设定，不允许超过这个设定的值。超出后不处理
nofile : 是每个进程可以打开的文件数的限制
nproc  : 是操作系统级别对每个用户创建的进程数的限制

（3）增加最大内存映射数（调整使用交换分区的设置）

永久修改：
[root@mes-1 ~]# vim /etc/sysctl.conf   ---添加如下
vm.max_map_count=262144  #elasticsearch用户拥有的内存权限太小，至少需要262144；
vm.swappiness=0			#表示最大限度使用物理内存，在内存不足的情况下（内存用完），然后才是swap空间
[root@mes-1 ~]# sysctl -p
# vm.swappiness＝100的时候表示积极的使用swap分区，并且把内存上的数据及时的搬运到swap空间里面。生效配置文件中的设置

或者：
临时修改：
[root@mes-1 ~]# sysctl -w vm.max_map_count=262144
增大用户使用内存的空间(临时)

启动如果报下列错误

memory locking requested for elasticsearch process but memory is not locked
elasticsearch.yml文件
bootstrap.memory_lock : false
/etc/sysctl.conf文件
vm.swappiness=0

错误:
max file descriptors [4096] for elasticsearch process is too low, increase to at least [65536]

意思是elasticsearch用户拥有的客串建文件描述的权限太低，至少需要65536个

解决：

切换到root用户下面，

vim   /etc/security/limits.conf

在最后添加
* hard nofile 65536
* hard nofile 65536
重新启动elasticsearch，还是无效？
必须重新登录启动elasticsearch的账户才可以，例如我的账户名是elasticsearch，退出重新登录。
另外*也可以换为启动elasticsearch的账户也可以，* 代表所有，其实比较不合适

启动还会遇到另外一个问题，就是
max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]
意思是：elasticsearch用户拥有的内存权限太小了，至少需要262114。这个比较简单，也不需要重启，直接执行
# sysctl -w vm.max_map_count=262144
就可以了