Logstash是一個完全開源的工具，他可以對你的日誌進行收集、分析，並將其儲存供以後使用（如，搜尋），您可以使用它。說到搜尋，logstash帶有一個web介面，搜尋和展示所有日誌。
kibana 也是一個開源和免費的工具，他可以幫助您彙總、分析和搜尋重要資料日誌並提供友好的web介面。他可以為 Logstash 和 ElasticSearch 提供的日誌分析的 Web 介面
說到這裡，我們看看 kibana 和 logstash到底能為我們做些什麼呢？下面是kibana的介面

  簡單來講他具體的工作流程就是 logstash agent 監控並過濾日誌，將過濾後的日誌內容發給redis(這裡的redis只處理佇列不做儲存)，logstash index將日誌收集在一起交給
全文搜尋服務ElasticSearch 可以用ElasticSearch進行自定義搜尋 通過Kibana 來結合 自定義搜尋進行頁面展示，下圖是 Kibana官網上的流程圖

好了 讓我們一步步的把這套環境搭建起來吧，先看看都需要安裝什麼軟體包
ruby 執行Kibana 必須，
rubygems 安裝ruby擴充套件必須
bundler 功能類似於yum
JDK 執行java程式必須
redis 用來處理日誌佇列
logstash 收集、過濾日誌
ElasticSearch 全文搜尋服務(logstash集成了一個)
kibana 頁面展示
這裡有三臺伺服器
192.168.233.128 logstash index，ElasticSearch，kibana，JDK
192.168.233.129 logstash agent，JDK
192.168.233.130 redis

此外 logstash 的收集方式分為 standalone 和 centralized。
standalone 是所有功能都在一個伺服器上面，自發自收，centralized 就是集中收集，一臺伺服器接收所有shipper(個人理解就是logstash agent)的日誌。
其實 logstash本身不分 什麼 shipper 和 collector ，只不過就是配置檔案不同而已，我們這次按照集中的方式來測試

在 logstash index上安裝基礎的軟體環境

1. [192.168.233.128 [email protected]:~] 
2. # cd /soft/ 
3. [192.168.233.128 [email protected]:/soft] 
4. # wget http://down1.chinaunix.net/distfiles/jdk-6u13-dlj-linux-i586.bin 
5. 從oracle下載實在是太慢了，從CU下載會快一些，如果需要最新版本請訪問這裡 
6. http://www.oracle.com/technetwork/java/javase/downloads/jdk7-downloads-1880260.html 
7. [192.168.233.128 [email protected]:/soft] 
8. # sh jdk-6u13-dlj-linux-i586.bin 
9. 輸入yes 便開始安裝了 
10. 安裝完成後設定一下 JAVA_HOME 
11. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
12. # vim /etc/profile 
13. export JAVA_HOME=/usr/java 
14. export PATH=$JAVA_HOME/bin:$PATH 
15. export CLASSPATH=.:$JAVA_HOME/lib/tools.jar:$JAVA_HOME/lib/dt.jar:$CLASSPATH 
16. 安裝ruby 就比較簡單了(Kibana需要ruby 1.8.7以上版本) 
17. [192.168.233.128 [email protected]:/soft] 
18. # yum install ruby rubygems 
19. ..... 安裝內容省略 
20. 安裝完成後用 rubygems 來安裝bundler 
21. [192.168.233.128 [email protected]:/soft] 
22. # /usr/bin/gem install bundler 
23. ..... 
24. ok 這樣基本的環境就已經有了，下面就是安裝kibana 和 logstash 
25. 其實logstash 就是一個java指令碼，不需要安裝... 下載即用 
26. [192.168.233.128 [email protected]:/soft] 
27. # wget http://logstash.objects.dreamhost.com/release/logstash-1.1.0-monolithic.jar 
28. 現在看看 這個指令碼應該怎麼去執行 
29. [192.168.233.128 [email protected]:/soft] 
30. # java -jar /soft/logstash-1.1.0-monolithic.jar -h 
31. No such command "-h"
32. Available commands: 
33.   -v 
34.   -V 
35.   --version
36.   agent 
37.   web 
38.   test 
39. 顯然沒有 -h 引數，不過列出了能用的引數，但是logstash的引數可不止這些， 
40. java -jar /soft/logstash-1.1.0-monolithic.jar agent --help
41. 這些是在agent模式下的命令引數 
42. -f, --config CONFIGFILE
43.     Load the logstash config from a specific file, directory, or a wildcard. If given a directory or wildcard, config files will be readinorder lexigraphically. 
44. -e CONFIGSTRING 
45.     Use the given string as the configuration data. Same syntax as the config file. If not input is specified, 'stdin { type => stdin }'isdefault. If nooutputis specified, 'stdout { debug => true }}'isdefault. 
46. -w, --filterworks COUNT
47.     Run COUNT filter workers (default: 1) 
48. --watchdog-timeout TIMEOUT
49.     Set watchdog timeout value. 
50. -l, --log FILE
51.     Log to a given path. Defaultisto log to stdout 
52. -v 
53.     Increase verbosity. There are multiple levels of verbosity available with'-vv' currently being the highest 
54. --pluginpath PLUGIN_PATH
55.     A colon-delimted path to find other logstash plugins in
56. java -jar /soft/logstash-1.1.0-monolithic.jar web --help
57. 下面的是在web介面的引數 
58. --log FILE
59.     Log to a given path. Defaultis stdout. 
60. --address ADDRESS
61.     Address on which to start webserver. Defaultis 0.0.0.0. 
62. --port PORT
63.     Port on which to start webserver. Defaultis 9292. 
64. -B, --elasticsearch-bind-host ADDRESS
65.     Address on which to bind elastic search node. 
66. -b, --backend URL
67.     The backend URL to use. Defaultis elasticsearch:/// (assumes multicast discovery). You can specify elasticsearch://[host][:port]/[clustername] 

1. [192.168.233.128 [email protected]:/soft] 
2. # vim redis.conf 
3. input {
4. redis { 
5.   host => '192.168.233.130'
6.   data_type => 'list'
7.   port => "6379"
8.   key => 'logstash:redis'
9.   type => 'redis-input'
10.        } 
11.        }
12. output { 
13.     elasticsearch { 
14.     embedded => true
15.                   } 
16.        } 

解釋一下 logstash的配置檔案由 input filter output 等幾個基本的部分組成，顧名思義 input 就是在那收集資料，output就是輸出到哪，filter代表一個過濾規則意思是什麼內容
會被收集。
上面這段是讓 logstash 去192.168.233.130 這個redis伺服器上去收集日誌 redis埠為6379，key是 logstash:redis 型別為 redis-input ，（注意:這幾個值必須跟logstash agent的
output 所對應），收集完成後輸出到 elasticsearch ,embedded => true 的意思是使用logstash 內嵌的 elasticsearch。如果有獨立的elasticsearch伺服器，需要將 這條改為
host => 'elasticsearch的ip' port => 埠
好了，這個簡單的配置檔案可以讓logstash開始啟動了

1. [192.168.233.128 [email protected]:/soft] 
2. # java -jar /soft/logstash-1.1.0-monolithic.jar agent -f /soft/redis.conf -- web --backend elasticsearch:///?local &
3. [1] 5205 
4. ...這裡要等待約5秒鐘... 為什麼？去問開發者吧 
5. [192.168.233.128 [email protected]:/soft] 
6. # I, [2013-03-19T03:23:10.749000 #5205]  INFO -- : Using beta plugin 'redis'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status  {"timestamp":"2013-03-19T03:23:10.732000 -0700","message":"Using beta plugin 'redis'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status ","level":"info"}
7. file:/soft/logstash-1.1.0-monolithic.jar!/gems/rack-1.3.4/lib/rack/backports/uri/common_192.rb:53 warning: already initialized constant WFKV_ 
8. Mizuno 0.5.0 (Jetty 8.0.y.z-SNAPSHOT) listening on 0.0.0.0:9292 
9. 解釋一下 上面的命令 agent 代理模式 -f 指定配置檔案 --web 其實是個分隔符等於又啟動了一個命令，後面的引數就是開啟一個web頁面預設埠是9292,這個命令如果拆成兩個就是這個樣子
10. java -jar /soft/logstash-1.1.0-monolithic.jar agent -f /soft/redis.conf & 
11. java -jar /soft/logstash-1.1.0-monolithic.jar web --backend elasticsearch:///?local & (其實如果用kibana來做web介面的話這一步完全可以省掉了)

好了，看到9292 埠啟動就代表 啟動成功了，檢查一下

1. [192.168.233.128 [email protected]:/soft] 
2. # lsof -i:9292 
3. COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4. java    5205 root  465u  IPv4 130805       TCP *:armtechdaemon (LISTEN) 
5. 其實logstash還啟動了一個埠9200，因為啟動了內嵌的 elasticsearch，這個9200是 elasticsearch在監聽 
6. [192.168.233.128 [email protected]:/soft] 
7. # lsof -i:9200 
8. COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
9. java    5205 root  160u  IPv4 130682       TCP *:wap-wsp (LISTEN) 

現在可以通過瀏覽器訪問一下 http://192.168.233.128:9292 看看logstash是的頁面是個什麼樣子

現在還不能搜尋因為現在還沒有資料，其實這個時候 http://192.168.233.128:9200 也是可以訪問的，
很多開發自己寫程式碼來呼叫elasticsearch 來實現他們自己的需要，這裡就不多說了
192.168.233.128 這臺logstash index的操作暫時告一段落，下面開始配置logstash的agent
登入到 伺服器 192.168.233.129 安裝基本軟體包和logstash

1. [192.168.233.129 [email protected]:~] 
2. # cd /soft/ 
3. [192.168.233.129 [email protected]:/soft] 
4. # wget http://down1.chinaunix.net/distfiles/jdk-6u13-dlj-linux-i586.bin 
5. [192.168.233.129 [email protected]:/soft] 
6. # sh jdk-6u13-dlj-linux-i586.bin 
7. 設定 JAVA_HOME 
8. [192.168.233.129 [email protected]:/soft] 
9. # vim /etc/profile 
10. export JAVA_HOME=/usr/java 
11. export PATH=$JAVA_HOME/bin:$PATH 
12. export CLASSPATH=.:$JAVA_HOME/lib/tools.jar:$JAVA_HOME/lib/dt.jar:$CLASSPATH 
13. [192.168.233.129 [email protected]:/soft] 
14. # yum install ruby 
15. 192.168.233.129 [email protected]:/soft] 
16. # wget http://logstash.objects.dreamhost.com/release/logstash-1.1.0-monolithic.jar 
17. [192.168.233.129 [email protected]:/soft] 
18. # vim redis.conf 
19. input { 
20.     file { 
21.     type => "producer"
22.     path => "/soft/apache.log"
23.     } 
24.     file { 
25.     type => "php-log"
26.     path => "/soft/php.log"
27.     } 
28. } 
29. filter { 
30.        grep { 
31.        match => [ "@message", "mysql|GET|error" ] 
32.             } 
33.        } 
34. output { 
35.       redis { 
36.       host => '192.168.233.130'
37.       data_type => 'list'
38.       key => 'logstash:redis'
39.        } 
40.        } 

   大概說一下這個配置檔案 input 裡的file就是要監視的檔案了 這裡我監視了兩個檔案，如果這兩個檔案有追加的內容就會通過下面的output設定發給 redis伺服器
filter 裡的grep 意思就是 grep...  後面這段就是 日誌內容裡面只要有匹配 mysql或GET或error的內容就會被過濾出來，傳送到 logstash index
以上就是一個比較簡單的配置檔案了，讓我們啟動他

1. [192.168.233.129 [email protected]:/soft] 
2. # java -jar /soft/logstash-1.1.0-monolithic.jar agent -f /soft/redis.conf & 
3. I, [2013-03-19T19:45:35.762000 #2721]  INFO -- : Using beta plugin 'file'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status  {"timestamp":"2013-03-19T19:45:35.752000 -0700","message":"Using beta plugin 'file'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status ","level":"info"}
4. I, [2013-03-19T19:45:35.778000 #2721]  INFO -- : Using beta plugin 'file'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status  {"timestamp":"2013-03-19T19:45:35.778000 -0700","message":"Using beta plugin 'file'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status ","level":"info"}
5. I, [2013-03-19T19:45:35.804000 #2721]  INFO -- : Using beta plugin 'grep'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status  {"timestamp":"2013-03-19T19:45:35.803000 -0700","message":"Using beta plugin 'grep'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status ","level":"info"}
6. I, [2013-03-19T19:45:35.854000 #2721]  INFO -- : Using beta plugin 'redis'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status  {"timestamp":"2013-03-19T19:45:35.853000 -0700","message":"Using beta plugin 'redis'. For more information about plugin statuses, see http://logstash.net/docs/1.1.0/plugin-status ","level":"info"}

只要沒有 warning 和 error就算是正常啟動了
啟動之前請確定 192.168.233.130的 redis伺服器已經啟動，不然會報錯
下面登入到 192.168.233.130 上看看 redis服務的狀態

1. [192.168.233.130 [email protected]:/data/redis/etc] 
2. # lsof -i:6379 
3. COMMAND    PID USER   FD   TYPE DEVICE SIZE NODE NAME
4. redis-ser 2732 root    4u  IPv4   7946       TCP *:6379 (LISTEN) 
5. redis-ser 2732 root    5u  IPv4   7963       TCP localhost.localdomain:6379->localhost.localdomain:19214 (ESTABLISHED) 
6. java      2733 root    9u  IPv4   7959       TCP localhost.localdomain:19214->localhost.localdomain:6379 (ESTABLISHED) 
7. 狀態正常，埠處於監聽狀態，我用的是最簡單的 配置， 
8. [192.168.233.130 [email protected]:/data/redis/etc] 
9. # vim redis.conf 
10. #this is the config file for redis 
11. pidfile /var/run/redis.pid 
12. port 6379 
13. timeout 0 
14. loglevel verbose 
15. logfile /data/redis/log/redis.log 
16. dbfilename dump.rdb 
17. dir /data/redis/db/ 
18. vm-swap-file /tmp/redis.swap 
19. activerehashing yes 
20. 啟動命令如下 
21. [192.168.233.130 [email protected]:/data/redis/etc] 
22. # redis-server /data/redis/etc/redis.conf & 

下載安裝就比較簡單了

1. [192.168.233.130 [email protected]:/soft] 
2. # wget http://redis.googlecode.com/files/redis-2.4.14.tar.gz 
3. [192.168.233.130 [email protected]:/data/redis/etc] 
4. # make –j24 
5. [192.168.233.130 [email protected]:/data/redis/etc] 
6. # make install 

配置檔案裡的那幾個路徑要提前建好

最後我們回到 logstash agent 上面測試一下

1. [192.168.233.129 [email protected]:/soft] 
2. # echo GET12313 >> apache.log 
3. [192.168.233.129 [email protected]:/soft] 
4. # echo errorabcd >> apache.log 

ok 到 http://192.168.233.128:9292 去搜索一下 剛才的兩個內容

嗯，就是這樣了，我現在找個php的錯誤日誌給他追加到php.log檔案裡
[192.168.233.129 [email protected]:/soft]
# cat php-error.log >> php.log
在看看 logstash的頁面 搜尋一下 error

OK，最後就是 Kibana了 ，我把Kibana裝在了 logstash index上面
下載地址為 http://kibana.org/intro.html

1. [192.168.233.128 [email protected]:/soft] 
2. # tar xf Kibana-0.2.0.tar.gz 
3. [192.168.233.128 [email protected]:/soft] 
4. # cd Kibana-0.2.0 
5. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
6. # bundle install 
7. 直接安裝就好了，非常簡單，因為之前咱們已經安裝好了 bundle 
8. 編輯配置檔案，指定 elasticsearch 的位置 
9. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
10. # vim KibanaConfig.rb 
11. ..... 
12.   Elasticsearch = "localhost:9200"
13.   KibanaPort = 5601 
14.   KibanaHost = '0.0.0.0'
15. ..... 
16. 主要是這幾個引數 
17. 啟動的話需要ruby 
18. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
19. # /usr/bin/ruby kibana.rb & 
20. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
21. # == Sinatra/1.3.5 has taken the stage on 5601 for development with backup from Thin 
22. >> Thin web server (v1.5.0 codename Knife) 
23. >> Maximum connections setto 1024 
24. >> Listening on 0.0.0.0:5601, CTRL+C to stop 
25. 如果ruby的東西都不缺的話，啟動會很順利，ok 現在看看5601埠的狀態 
26. [192.168.233.128 [email protected]:/soft/Kibana-0.2.0] 
27. # lsof -i:5601 
28. COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
29. ruby    3116 root    5u  IPv4  28947       TCP *:esmagent (LISTEN) 

訪問一下 試試看 http://192.168.233.128:5601 嘗試搜尋一下php的錯誤日誌，比如mysql

呵呵，要的就是這個效果，日誌會實時的彙總到 logstash index 上供我們查詢，當然這只是開始使用logstash的第一步而已，更多的高階功能可以看看官方文件
http://logstash.net/docs/1.1.9/
如果有問題大家可以一起探討，我也是剛開始接觸這個東東，收集日誌是相當方便啊，據說還能跟nagios結合. 呵呵