一、介绍

1、ELK是一个完整的集中的日志收集分析系统。包含以下特点：

a、能够收集多种源的日志数据

b、能够稳定的把日志数据传输到中间系统

c、多种存储日志数据的方式

d、可以支持可视化界面分析

e、能够提供错误报告、提前预警

2、ELK是三个软件首字母缩写，分别是

elasticsearch：分布式搜索引擎，提供收集、分析、存储三大功能

logstash：收集、分析、过滤日志的工具，支持大量的数据收集方式。工作方式为C/S模式。client安装在需收集日志的设备上，server端负责将各个client收集到的日志进行过滤、修改后发往elasticsearch。

kibana：可以为前面两者提供良好的UI界面，帮助提高对日志的汇总、分析和搜索等功能的友好度。

3、上面三者组成了ELK，但一般情况下还需要client，filebeat提供了这一功能。内涵四种功能：

packetbeat：收集网络流量数据

topbeat：收集系统的进程、CPU、内存等使用运行情况

filebeat：收集文件数据

winlogbeat：收集Windows中的事件日志数据

4、工作流程

测试部署过程（此处设计两台，一台为ELK_server，一台为Nginx_server）

二、ELK_server端：

环境准备：关闭防火墙、关闭SELinux（因为是测试环境，就关闭了）。

yum -y install java-1.8*　　（安装jdk，ELK需要java环境）

1、安装elasticsearch

上传elasticsearch安装包

tar -xzf elasticsearch-7.9.0-linux-x86_64.tar.gz

useradd elasticsearch　　(因为elasticsearch启动不能用root用户，所有新建一用户）

chown -R elasticsearch.elasticsearch elasticsearch-7.9.0　　(将目录权限改为新建的用户)

cp -a elasticsearch-7.9.0 /usr/local

su elasticsearch

cd /usr/local/elasticsearch-7.9.0

./bin/elasticsearch -d

查看服务是否启动成功

netstat -antp | grep 9200

或者使用curl  localhost:9200

 表示启动成功。

2、安装logstash

上传logstash软件包

tar -xzf logstash-6.8.15.tar.gz

cp -a logstash-6.8.15  /usr/local

vi /usr/local/logstash-6.8.15/vendor/bundle/jruby/2.5.0/gems/logstash-patterns-core-4.1.2/patterns/grok-patterns

最下面新起一行，填写以下代码。

# nginx
WZ ([^ ]*)
NGINXACCESS %{IP:remote_ip} \- \- \[%{HTTPDATE:timestamp}\] "%{WORD:method} %{WZ:request} HTTP/%{NUMBER:httpversion}" %{NUMBER:status} %{NUMBER:bytes} %{QS:referer} %{QS:agent} %{QS:xforward}

完成后，保存退出

vi /usr/local/logstash-6.8.15/test.conf　　(新建配置文件，启动服务时需要)

input {
    beats {
        port => "5044"
    }
}
#数据过滤
filter {
    grok {
        match => { "message" => "%{NGINXACCESS}" }
    }
    geoip {
        #nginx端IP地址
        source => "192.168,171.140"
    }
}
#输出配置为本机端口9200端口，这是elasticsearch端口
output {
    elasticsearch {
        hosts => ["127.0.0.1:9200"]
    }
}

完成后，保存退出

启动服务（服务启动较慢）

nohup /usr/local/logstash-6.8.15/bin/logstash -f /usr/local/logstash-6.8.15/test.conf &

查看服务启动情况：netstat  -anpt  | grep 5044

3、安装Kibana

上传Kibana安装包

tar -xzf kibana-7.9.0-linux-x86_64.tar.gz

cp -a kibana-7.9.0-linux-x86_64 /usr/local

vi /usr/local/kibana-7.9.0-linux-x86_64/config/kibana.yml

将 #server.port: 5601  改为 server.port: 5601

将 #server.host: "localhost"  改为 server.host: "192.168.171.141"　　（这样其他电脑通过浏览器进行访问了）

启动服务（启动过程耗时较长）

nohup  /usr/local/kibana-7.9.0-linux-x86_64/bin/kibana  --allow-root &

查看服务：netstat -anpt | grep 5601

启动成功后，可以通过浏览器进行访问了（IP:5601）

至此，server端的安装完成。

三、Nginx_server端配置

1、安装nginx服务（因为是测试，所以选用yum安装方式）

rpm -Uvh http://nginx.org/packages/centos/7/noarch/RPMS/nginx-release-centos-7-0.el7.ngx.noarch.rpm
yum -y install nginx

2、上传filebeat，解压。
tar -xzf filebeat-7.9.0-linux-x86_64.tar.gz
cp -a filebeat-7.9.0-linux-x86_64 /usr/local/

3、修改配置文件并启动服务

cd /usr/local/filebeat-7.9.0-linux-x86_64/
vi filebeat.yml
enable：false  修改为true
paths：/var/log/*.log 修改为/var/log/nginx/*.log

output.elasticsearch  修改为  output.logstash   (也可以将此注释掉，下面注释中有)

hosts:["localhost:9200"]  修改为  hosts:[server端IP:5044]　　

nohup ./usr/local/filebeat-7.9.0-linux-x86_64/filebaet -e -c filebeat.yml &

4、设置并查看

点击 Discover

输入logstash-* 点击 next

选择时间，就可以查看了