elk 日志链路traceId elk看日志缺点

转载

风轻云淡的开发 2024-03-29 13:45:50

文章标签 elk 日志链路traceId elk elasticsearch 搜索引擎运维 文章分类 运维

安装ELK

简介

ELK是三个开源软件的缩写，分别表示：Elasticsearch , Logstash, Kibana , 它们都是开源软件。新增了一个FileBeat，它是一个轻量级的日志收集处理工具(Agent)，Filebeat占用资源少，适合于在各个服务器上搜集日志后传输给Logstash，官方也推荐此工具。

Elasticsearch是个开源分布式搜索引擎，提供搜集、分析、存储数据三大功能。它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。主要负责将日志索引并存储起来，方便业务方检索查询。

Logstash 主要是用来日志的搜集、分析、过滤日志的工具，支持大量的数据获取方式。一般工作方式为c/s架构，client端安装在需要收集日志的主机上，server端负责将收到的各节点日志进行过滤、修改等操作在一并发往elasticsearch上去。是一个日志收集、过滤、转发的中间件，主要负责将各条业务线的各类日志统一收集、过滤后，转发给 Elasticsearch 进行下一步处理。

Kibana 也是一个开源和免费的工具，Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助汇总、分析和搜索重要数据日志。

Filebeat隶属于Beats。目前Beats包含四种工具：

Packetbeat（搜集网络流量数据）

Topbeat（搜集系统、进程和文件系统级别的 CPU 和内存使用情况等数据）

Filebeat（搜集文件数据）

Winlogbeat（搜集 Windows 事件日志数据）

这是我的架构图：

elk 日志链路traceId elk看日志缺点_运维

环境准备：（单机部署）

系统版本：7.5

ELK版本：7.9

闲话少说直接开始

下载ELk的rpm包

官网地址：https:///cn/downloads/elasticsearch

elk 日志链路traceId elk看日志缺点_搜索引擎_02

官网下载忒慢了，我直接从国内镜像下载的：

https://mirrors.tuna.tsinghua.edu.cn/elasticstack/yum/elastic-7.x/7.9.0/ elasticsearch安装包：

wget https://mirrors.tuna.tsinghua.edu.cn/elasticstack/yum/elastic-7.x/7.9.0/elasticsearch-7.9.0-x86_64.rpm

filebeat安装包：

wget https://mirrors.tuna.tsinghua.edu.cn/elasticstack/yum/elastic-7.x/7.9.0/filebeat-7.9.0-x86_64.rpm

kibana安装包：

wget https://mirrors.tuna.tsinghua.edu.cn/elasticstack/yum/elastic-7.x/7.9.0/kibana-7.9.0-x86_64.rpm

logstash安装包：

wget https://mirrors.tuna.tsinghua.edu.cn/elasticstack/yum/elastic-7.x/7.9.0/logstash-7.9.0.rpm

好了，下载完成后：

安装JDK

在/etc/profile文件里面添加java环境变量

export JAVA_HOME=/home/java/jdk1.8.0_191
export PATH=$JAVA_HOME/bin:$PATH
export CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar

添加完成后加载配置文件

source /etc/profile
[root@localhost jdk1.8.0_191]#java -version
java version "1.8.0_191"
Java(TM) SE Runtime Environment (build 1.8.0_191-b12)
Java HotSpot(TM) 64-Bit Server VM (build 25.191-b12, mixed mode)
[root@localhost jdk1.8.0_191]#

创建软连接，不然logstash启动会报错，提示找不到配置文件

ln -s /home/java/jdk1.8.0_191/bin/java /usr/bin/java

直接安装

rpm -ivh elasticsearch-7.9.0-x86_64.rpm kibana-7.9.0-x86_64.rpm  logstash-7.9.0.rpm

配置elasticsearch:

rpm安装可以忽略创建用户是操作，在root下可以直接安装，安装的同时会自动创建用户
 修改配置文件/etc/elasticsearch/elasticsearch.yml的以下内容：
 [root@localhost ~]# egrep -v “#” /etc/elasticsearch/elasticsearch.yml
 : my-application
 : node-1
 path.data: /var/lib/elasticsearch
 path.logs: /var/log/elasticsearch
 network.host: 0.0.0.0
 http.port: 9200
 discovery.seed_hosts: [“host1”]
 cluster.initial_master_nodes: [“node-1”]
 [root@localhost ~]#
 3、启动elasticsearch
 systemctl start elasticsearch 启动
 systemctl enable elasticsearch 开机自启
 systemctl status elasticsearch 查看状态
 4、验证
 可以打开浏览器，输入机器的IP地址加端口号。
 http://192.168.236.187:9200 http://192.168.236.187:9200/filebeat-*/_search?pretty
 http://192.168.236.187:9200/_cat/nodes
 http://192.168.236.187:9200/_cat/indices?v
 若是不能打开查看防火墙是否开放该端口
 返回以下内容则说明安装成功。

配置kibana

1、打开kibana配置文件，进行修改
 2、修改配置文件，修改一下内容
 #vi /etc/kibana/kibana.yml
 [root@localhost ~]# egrep -v “#|^$” /etc/kibana/kibana.yml
 server.port: 5601
 server.host: “0.0.0.0”
 elasticsearch.hosts: [“http://localhost:9200”]
 i18n.locale: “zh-CN”
 [root@localhost ~]#
 3、启动kibana
 systemctl start kibana
 systemctl enable kibana
 systemctl status kibana
 4、浏览器访问
 http://192.168.236.187:5601/

在另一台机器上安装filebeat

rpm ivh filebeat-7.9.0-x86_64.rpm

配置收集tomcat日志，单个日志 filebeat.yml：

[root@localhost filebeat]# egrep -v "#|^$" filebeat.yml 
filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /apache-tomcat-8.5.73/logs/catalina.out
  fields:
    log_type: "cms-logs"
filebeat.config.modules:
  path: ${path.config}/modules.d/*.yml
  reload.enabled: false
setup.template.settings:
  index.number_of_shards: 1
setup.kibana:
output.logstash:
  enabled: true
  hosts: ["192.168.236.192:5044"]

注意：filebeat默认开启输出到elasticsearch的要注释掉
 #---------------------------- Elasticsearch Output ----------------------------
 #output.elasticsearch:
 #Array of hosts to connect to.
 #hosts: [“localhost:9200”]

配置收集多个日志 filbeat.yml

- type: log

  # Change to true to enable this input configuration.
  enabled: true

  # Paths that should be crawled and fetched. Glob based paths.
  paths:
    - /SERVER/TOMCAT/tomcat/logs/catalina.out
  fields:
    log_type: "logs1"
- type: log
  enabled: true
  paths:
    - /SERVER/JAR/big/nohup.out
  fields:
    log_type: "logs2" 
- type: log
  enabled: true
  paths:
    - /SERVER/JAR/test/nohup.out
  fields:
    log_type: "logs3"
- type: log
  enabled: true
  paths:
    - /home/server/apache-tomcat-8.5.55/logs/catalina.out
  fields:
    log_type: "logs4"

配置logstash

在/etc/logstash/conf.d目录下生成一个conf文件，将下面的内容添加进去
vim server.conf

input {
   #从filebeat取数据，端口与filebeat配置文件一致
   beats {
     port => 5044
   }
}
#获取日志的时间，直接替换
filter {
	grok {
        	match => {  
                	"message" => "(?<timestamp>%{TIMESTAMP_ISO8601})" 
         }
    }
	date {
        	match => [ "timestamp", "ISO8601" ]
	}
}
output {
       # 输出es，这的filetype就是在filebeat那边新增的自定义字段名
       if [fields][log_type] == "logs1" { #这个logs跟filebeat的log_type名称要对应
         elasticsearch {
            hosts => ["localhost:9200"]
            index => "logs1-%{+YYYY.MM.dd}" #这里可以命名自己想要设置的名称
        }
       } 
       if [fields][log_type] == "logs2" { #这个logs跟filebeat的log_type名称要对应
         elasticsearch {
            hosts => ["localhost:9200"]
            index => "logs2-%{+YYYY.MM.dd}" #这里可以命名自己想要设置的名称
        }
       }
       if [fields][log_type] == "logs3" { #这个logs跟filebeat的log_type名称要对应
         elasticsearch {
            hosts => ["localhost:9200"]
            index => "logs3-%{+YYYY.MM.dd}" #这里可以命名自己想要设置的名称
        }       
       }
      if [fields][log_type] == "logs4" { #这个logs跟filebeat的log_type名称要对应
         elasticsearch {
            hosts => ["localhost:9200"]
            index => "logs4-%{+YYYY.MM.dd}" #这里可以命名自己想要设置的名称
 		}
    }
}