ELK Stack：分布式日志收集与分析 - 智猿学院-IT界的百科全书

好的，没问题！咱们这就来聊聊ELK Stack这个“日志界的瑞士军刀”。准备好了吗？咖啡续上，Let’s go!

ELK Stack：分布式日志收集与分析——让你的系统日志不再是“一团乱麻”

各位程序猿、攻城狮、数据分析师们，大家好！相信大家或多或少都遇到过这样的场景：线上系统出了问题，紧急排查，却发现日志散落在各个角落，像大海捞针一样，让人头大。面对成千上万行的日志，简直就是一场灾难！

别担心，今天我就来给大家介绍一个神器——ELK Stack。它就像一位经验丰富的侦探，能帮你把散落在各处的线索（日志）收集起来，整理得井井有条，让你快速找到问题的根源。

什么是ELK Stack？

ELK Stack并不是一个单一的软件，而是一套开源的日志管理解决方案，由三个核心组件组成，它们的名称首字母组合起来，就成了“ELK”。

E – Elasticsearch： 这是一个分布式、可搜索的 NoSQL 数据库。它负责存储、索引和搜索日志数据，就像一个超级强大的图书馆，能快速找到你需要的信息。
L – Logstash： 这是一个数据收集引擎，负责从各种来源收集、解析和转换日志数据，然后将其发送到 Elasticsearch。它就像一个专业的物流公司，负责把货物（日志）从各地运送到图书馆。
K – Kibana： 这是一个数据可视化平台，负责展示 Elasticsearch 中存储的日志数据，让你通过图表、仪表盘等方式，更直观地了解系统状态。它就像图书馆里的阅览室，提供各种工具让你方便地阅读和分析书籍（日志）。

它们之间的关系就像这样：

[日志源] --> Logstash --> Elasticsearch --> Kibana --> [你]

为什么要用ELK Stack？

说了这么多，你可能还是觉得有点抽象。别急，我们来聊聊ELK Stack的优点，你就知道它有多香了。

集中管理： 将所有系统的日志集中存储在一个地方，方便统一管理和分析。再也不用登录到各个服务器上，苦苦翻找日志文件了。
实时分析： 可以实时地搜索、过滤和分析日志数据，快速定位问题。当线上系统出现异常时，可以第一时间发现并解决。
可视化展示： 通过 Kibana 提供的各种图表和仪表盘，可以直观地了解系统状态、性能指标等。让你对系统运行情况一目了然。
可扩展性： ELK Stack 是一个分布式的解决方案，可以轻松地扩展到多个节点，以应对海量日志数据。
开源免费： ELK Stack 是开源的，你可以免费使用它，并根据自己的需求进行定制。

ELK Stack 的安装与配置

接下来，我们来简单介绍一下 ELK Stack 的安装与配置。这里以 CentOS 7 为例，其他 Linux 发行版也类似。

1. 安装 Java

ELK Stack 的所有组件都需要 Java 运行环境，所以首先要安装 Java。

sudo yum install java-1.8.0-openjdk-devel

安装完成后，可以使用 java -version 命令来检查 Java 是否安装成功。

2. 安装 Elasticsearch

下载 Elasticsearch：

wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.17.6-x86_64.rpm

安装 Elasticsearch：

sudo rpm -i elasticsearch-7.17.6-x86_64.rpm

配置 Elasticsearch：

修改 /etc/elasticsearch/elasticsearch.yml 文件，设置 network.host 和 http.port。

network.host: 0.0.0.0
http.port: 9200

启动 Elasticsearch：

sudo systemctl start elasticsearch
sudo systemctl enable elasticsearch

验证 Elasticsearch：

在浏览器中访问 http://your_server_ip:9200，如果看到 Elasticsearch 的 JSON 响应，说明安装成功。

3. 安装 Logstash

下载 Logstash：

wget https://artifacts.elastic.co/downloads/logstash/logstash-7.17.6-x86_64.rpm

安装 Logstash：

sudo rpm -i logstash-7.17.6-x86_64.rpm

配置 Logstash：

创建一个 Logstash 配置文件，例如 /etc/logstash/conf.d/my_logstash.conf。

input {
  file {
    path => "/var/log/messages"
    start_position => "beginning"
    sincedb_path => "/dev/null"
  }
}

filter {
  grok {
    match => { "message" => "%{SYSLOGTIMESTAMP:timestamp} %{HOSTNAME:hostname} %{GREEDYDATA:message}" }
  }
  date {
    match => [ "timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
  }
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "system-logs-%{+YYYY.MM.dd}"
  }
  stdout { codec => rubydebug }
}

这个配置文件的作用是：

input： 从 /var/log/messages 文件读取日志。
filter： 使用 Grok 过滤器解析日志，提取时间戳、主机名和消息内容。
output： 将解析后的日志发送到 Elasticsearch，并打印到控制台。
启动 Logstash：

sudo systemctl start logstash
sudo systemctl enable logstash

4. 安装 Kibana

下载 Kibana：

wget https://artifacts.elastic.co/downloads/kibana/kibana-7.17.6-x86_64.rpm

安装 Kibana：

sudo rpm -i kibana-7.17.6-x86_64.rpm

配置 Kibana：

修改 /etc/kibana/kibana.yml 文件，设置 server.host 和 elasticsearch.hosts。

server.host: "0.0.0.0"
elasticsearch.hosts: ["http://localhost:9200"]

启动 Kibana：

sudo systemctl start kibana
sudo systemctl enable kibana

访问 Kibana：

在浏览器中访问 http://your_server_ip:5601，如果看到 Kibana 的界面，说明安装成功。

ELK Stack 的使用

安装完成后，就可以开始使用 ELK Stack 了。

创建 Index Pattern： 在 Kibana 中，需要先创建一个 Index Pattern，才能搜索 Elasticsearch 中的数据。选择 "Stack Management" -> "Index Patterns"，然后点击 "Create index pattern"。输入 index 的名称（例如 system-logs-*），然后选择时间字段（例如 @timestamp）。
搜索日志： 创建 Index Pattern 后，就可以在 "Discover" 页面搜索日志了。可以输入关键词、选择时间范围、过滤字段等。
创建可视化： Kibana 提供了丰富的可视化工具，可以创建各种图表和仪表盘。例如，可以创建一个柱状图来显示不同主机名的日志数量，或者创建一个折线图来显示 CPU 使用率的变化趋势。

Logstash 配置文件详解

Logstash 的配置文件是 ELK Stack 中非常重要的部分，它决定了如何收集、解析和转换日志数据。下面我们来详细介绍一下 Logstash 配置文件的各个部分。

input： 定义 Logstash 从哪些来源收集日志。
- file： 从文件中读取日志。
- tcp： 从 TCP 端口接收日志。
- udp： 从 UDP 端口接收日志。
- redis： 从 Redis 队列接收日志。
- beats： 从 Beats 收集器接收日志。
filter： 定义如何解析和转换日志数据。
- grok： 使用正则表达式解析日志。
- date： 解析时间戳。
- mutate： 修改字段的值。
- geoip： 根据 IP 地址查询地理位置信息。
- useragent： 解析 User-Agent 字符串。
output： 定义将日志数据发送到哪里。
- elasticsearch： 发送到 Elasticsearch。
- file： 写入到文件中。
- stdout： 打印到控制台。
- redis： 发送到 Redis 队列。

Grok 过滤器

Grok 过滤器是 Logstash 中最常用的过滤器之一，它可以根据正则表达式解析日志。Grok 表达式由两部分组成：

模式名称： 例如 %{SYSLOGTIMESTAMP}、%{HOSTNAME}、%{GREEDYDATA}。
字段名称： 例如 timestamp、hostname、message。

Logstash 提供了许多内置的 Grok 模式，可以在 /opt/logstash/patterns 目录下找到。也可以自定义 Grok 模式。

示例：解析 Apache access log

假设 Apache access log 的格式如下：

127.0.0.1 - - [01/Jan/2023:00:00:00 +0000] "GET /index.html HTTP/1.1" 200 1234 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"

可以使用以下 Grok 表达式来解析：

%{IP:clientip} %{USER:ident} %{USER:auth} [%{DATETIME:timestamp}] "(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})" %{NUMBER:response} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent}

对应的 Logstash 配置文件如下：

input {
  file {
    path => "/var/log/apache2/access.log"
    start_position => "beginning"
    sincedb_path => "/dev/null"
  }
}

filter {
  grok {
    match => { "message" => "%{IP:clientip} %{USER:ident} %{USER:auth} [%{DATETIME:timestamp}] "(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})" %{NUMBER:response} (?:%{NUMBER:bytes}|-) %{QS:referrer} %{QS:agent}" }
  }
  date {
    match => [ "timestamp", "dd/MMM/yyyy:HH:mm:ss Z" ]
  }
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "apache-logs-%{+YYYY.MM.dd}"
  }
  stdout { codec => rubydebug }
}

Beats：轻量级数据收集器

除了 Logstash，还可以使用 Beats 来收集日志数据。Beats 是一系列轻量级的数据收集器，包括：

Filebeat： 收集文件日志。
Metricbeat： 收集系统和服务的指标数据。
Packetbeat： 收集网络流量数据。
Auditbeat： 收集审计日志。
Heartbeat： 监控服务的可用性。

Beats 的优点是：

轻量级： 占用资源少，适合部署在资源有限的服务器上。
可靠： 可以保证日志数据的可靠传输。
易于配置： 配置文件简单易懂。

ELK Stack 的高级应用

除了基本的日志收集和分析，ELK Stack 还可以用于以下高级应用：

安全分析： 监控安全日志，检测恶意攻击。
性能监控： 监控系统和服务的性能指标，及时发现性能瓶颈。
用户行为分析： 分析用户行为日志，了解用户喜好和习惯。
业务指标监控： 监控业务指标，及时发现业务异常。

总结

ELK Stack 是一套强大的日志管理解决方案，可以帮助你集中管理、实时分析和可视化展示日志数据。它就像一位得力的助手，能让你轻松应对各种日志问题，提高工作效率。

希望这篇文章能帮助你了解 ELK Stack，并将其应用到实际工作中。记住，只有掌握了工具，才能更好地解决问题！祝大家工作顺利，Bug 越来越少！

发表回复 取消回复

发表回复取消回复