ELK 作为交换机和路由器日志管理系统的简单实践！

523rew

硬件环境：

• 
  
  
  • IBM System X3650m3
    
  • CPU：Xeon E5620 2.4GHz
    
  • 内存：8G
    
  • 硬盘：300G（RAID1)
    
    

软件环境：
        a. 系统：CentOS6.5
        b. E : elasticsearch-2.1.1.rpm
            L : logstash-2.1.1-1.noarch.rpm
            k : kibana-4.3.1-linux-x64.tar.gz
        c.  python-meld3-0.6.7-1.el6.x86_64.rpm
        d. supervisor-3.0-1.gf.el6.noarch.rpm
    注： logstash自带的启动脚本有问题，所以使用supervisor来管理logstash的服务器进程
一.

1. 安装logstash：

1	yum -y localinstall logstash-2.1.1-1.noarch.rpm

  2. 配置logstash（/etc/logstash/conf.d/logstash.conf,  默认没有需要自己编写）

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

input{     udp{         port => 514  #用于接收交换机和路由器的日志的服务器端口         type => "switch_route"     } } filter{     if [type] == "switch_route" {         grok{             #用于过滤日志信息，NUMBER等大写字母表示的是logstash自带的正则模式，冒号后面的表示自定义的显示字段             match => ["message", "<%{NUMBER:message_type_id}>%{NUMBER:internal_id}: %{SYSLOGTIMESTAMP:message_timestamp}: %{GREENDATA"}]         }         #用于解析syslog的severity 和 facility         syslog_pri{}     } } output{     #stdout{     #    codec => rubydebug #将数据输出到标准输出，主要用于调试     #}     elasticsearch{         hosts => ['127.0.0.1:9200'] #指定elasticsearch的服务器，可以指定多个用逗号分隔         workers => 5 #elasticsearch初始启动多少工作进程         template_overwirte => true #表示当单独指定模版文件的时候是否覆盖默认的模板     } }

3. 配置supervisor并启动logstash服务

1 2 3 4 5 6 7 8

1. supervisor配置(/etc/supervisord.d/logstash.ini)： [program:logstash] directory = /opt/logstash command = /opt/logstash/bin/logstash -f /etc/logstash/conf.d/logstash -l /var/log/logstash/logstash.log 2. 启动logstash服务器 supervisorctl start logstash 3. 验证已经监听UDP的514端口 lsof -i:514

二.

1. 安装elasticsearch：

1	yum -y localinstall elasticsearch-2.1.1.rpm

2. 启动elasticsearch服务

1	service elasticsearch start

3. 验证是否已经启用9200和9300端口

1	lsof -i:9200/9300

三.

• 解压kibana到/opt目录下
  
  
  

1 2	tar xf kibana-4.3.1-linux-x64.tar.gz -C /opt ln -s kibana-4.3.1-linux-x64 kibana

  2. 配置supervisor用于启动kibana进程

1 2 3 4

配置文件路径：/etc/supervisord.d/kibana.ini [program:kibana] directory = /opt/kibana command = /opt/kibana/bin/kibana

  3. 启动kibana服务

1	supervisorctl start kibana

  4. 验证kibana服务进程是否已经监听5601端口

1	lsof -i:5601

四.
    此时，可以在浏览器中输入http://127.0.0.1:5601 既可以访问kibana了

其他：
    elasticsearch提供了restAPI可以通过浏览器来查看elasticsearch服务是否已经有包含数据，以及其他一些信息，例如查看是否已经接受到了数据：

1	curl http://127.0.0.1:9200/_search?pretty

    elasticsearch数据的存储路径是：

1	/var/lib/elasticsearch/elasticsearch/