一、ELKStack介绍与入门实践

二、Elasticsearch 集群架构图

服务器配置：Centos6.6 x86_64 CPU：1核心 MEM：2G （做实验，配置比较低一些）

注：这里配置elasticsearch集群用了3台服务器，可以根据自己的实际情况进行调整。

三、开始安装配置nginx和logstash

注：这里使用yum安装，如果需要较高版本的，可以使用编译安装。

在10.0.18.144上操作，10.0.18.145配置方式和144是一样的。

1、安装nginx

配置yum源并安装nginx

修改nginx配置文件，修改为如下：

启动nginx，并访问测试：

在浏览器访问测试，如下：

2、安装配置java环境

3、安装配置logstash

配置logstash的yum源，如下：

配置logstash的配置文件

启动并查看收集nginx日志情况：

修改logstash的配置文件，将日志数据输出到redis

检查语法并启动服务

四、安装配置redis

下载并安装redis

修改redis配置文件

五、安装配置logstash server

1、安装jdk

2、安装logstash

配置logstash server

语法没问题之后，测试查看收集nginx日志的情况，如下：

注：执行此命令之后不会立即有信息显示，需要等一会，也可以在浏览器刷新144和145的nginx页面或者同一网段的其他机器访问144、145，就会由如上信息出现。

3、修改logstash配置文件，将搜集到的数据输出到ES集群中

六、安装配置Elasticsearch

在10.0.18.148、10.0.18.149、10.0.18.150三台ES上安装jdk和Elasticsearch！jdk的安装都是一样的，这里不做赘述。

1、添加elasticsearch用户，因为Elasticsearch服务器启动的时候，需要在普通用户权限下来启动。

将elasticsearch的配置文件末尾添加如下：

启动服务

启动连个端口：9200集群之间事务通信，9300集群之间选举通信。

启动之后，查看三台Elasticsearch的日志，会看到“选举”产生的master节点

第一台：10.0.18.148

可以看到自动“选举”node-2，即10.0.18.149为master节点

第二台：10.0.18.149

也可以看到自动“选举”node-2，即10.0.18.149为master节点

第三台：10.0.18.150

也是可以看到自动“选举”node-2，即10.0.18.149为master节点！

2、其他信息查看

查看健康信息：

3、查看节点数

注意：*表示当前master节点

4、查看节点分片的信息

还没有看到分片的信息，后面会介绍原因。

5、在三台Elasticsearch节点上安装插件，如下：

查看安装的插件，如下：

七、安装配置kibana

说明：在10.0.18.150服务器上安装kibana！

1、配置yum源

2、安装插件

3、修改kibana配置文件

4、启动kibana

在浏览器访问kibana端口并创建index，如下：

红方框中的索引名称是我在logstash server 服务器的配置文件中配置的index名称，但是无法创建，提示的信息Unable to fetch mapping…… 说明是Elasticsearch没有读取到这个index名称，逐步排查，看日志，最后在10.0.18.144、10.0.18.145上查看logstash的日志，报错如下：

重新刷新kibana页面，并创建index名为nginx-log-*的索引，这次就可以了，如下:

点击绿色按钮“Create”，就可以创建成功了！然后查看kibana界面的“Discovery”，就会看到搜集的nginx日志了，如下：

可以看到已经搜集到日志数据了！

5、访问head，查看集群是否一致，如下图：

6、访问bigdesk，查看信息，如下图：

上图中也标记了node-2为master节点（有星星标记），上图显示的数据是不断刷新的！

7、访问kopf,查看信息，如下图：

上面提到了查看节点分片的信息，结果是没有数据（因为刚配置好，还没有创建索引，所以分片信息还没有），现在再测试一次，就可以看到数据了，如下图：

8、在kibana界面可以查看到nginx-log-*这个index搜集到的nginx日志数据，也可以看到Elasticsearch集群的index--marvel-es-1-*关于集群的一些信息，如下图：

八、ELK遇到的一些问题

1、关于kibana端口

配置过kibana的都知道kibana的默认端口是5601，我想修改为80，结果启动kibana报错，如下：

没有找到解决方法，只能将端口改为默认的5601了。

2、关于nginx日志问题

本次实验是使用yum安装的nginx，版本是1.10.1,开始是因为nginx日志权限，导致无法读取nginx日志，后来将日志文件权限修改为了755，就可以了。但是，nginx日志是每天进行logrotate的，新生成的日志依然是640的权限，所以依然获取不到日志数据。所以只能修改nginx的默认logrotate文件了:

3、关于Marvel的问题

说明：Marvel是Elasticsearch集群的monitor ，英文解释如下：

Marvel is the best way to monitor your Elasticsearch cluster and provide actionable insights to help you get the most out of your cluster. It is free to use in both development and production.

Marvel是监控你的Elasticsearch集群，并提供可操作的见解，以帮助您充分利用集群的最佳方式，它是免费的在开发和生产中使用。

问题：Elasticsearch集群都搭建好之后，在浏览器访问Marvel，查看监控信息的时候页面报错，无法显示监控的信息大致意识是no-data之类的，后来通过排查三台Elasticsearch的log，有一些错误，具体没有搞清楚是什么错，于是重启了三台Elasticsearch的elasticsearch服务，再访问Marvel的监控页面，就OK了，如下图：

可以看到serverlog是我配置的集群名称，点进去继续查看，如下图：

4、节点分片信息相关的问题

在本次实验的过程中，第一次查看分片信息是没有的，因为没有创建索引，后面等创建过索引之后，就可以看到创建的索引信息了，但是还有集群的信息没有显示出来，问题应该和第2个一样，Elasticsearch有问题，重启之后，就查看到了如下：

5、关于创建多个index索引名称，存储不同类型日志的情况

也许我们不止nginx这一种日志需要搜集分析，还有httpd、tomcat、mysql等日志，但是如果都搜集在nginx-log-*这个索引下面，会很乱，不易于排查问题，如果每一种类型的日志都创建一个索引，这样分类创建索引，会比较直观，实现是在logstash server 服务器上创建多个conf文件，然后逐个启动，如下：

6、elasticsearch启动之后，提示最大文件数太小的问题

ELK集群搭建好之后，开启elasticsearch，提示下面的warn：

二、ELKStack集群架构设计