安裝kibana、安裝logstash，logstash收集syslog日誌
安裝kibana、安裝logstash，logstash收集syslog日誌
ELK安裝 – 安裝kibana（成圖的、web工具）
以下在128（主節點）上執行（在一臺機器上安裝即可）
wget https://artifacts.elastic.co/downloads/kibana/kibana-6.0.0-x86_64.rpm sha1sum kibana-6.0.0-x86_64.rpm rpm --install kibana-6.0.0-x86_64.rpm
！！用以上方式安裝kibana6.0.0版本的。因為阿里雲內建的yum源是最新版的，不相容
https://www.elastic.co/guide/cn/kibana/current/rpm.html，這是官網安裝頁面
前面已經配置過yum源，這裡就不用再配置了
yum install -y kibana
若速度太慢，可以直接下載rpm包
1.wget https://artifacts.elastic.co/downloads/kibana/kibana-6.0.0-x86_64.rpm
2.rpm -ivh kibana-6.0.0-x86_64.rpm
kibana同樣也需要安裝x-pack（可省略）
安裝方法同elasticsearch的x-pack
cd /usr/share/kibana/bin （可省略）
./kibana-plugin install x-pack //如果這樣安裝比較慢，也可以下載zip檔案（可省略）
wget https://artifacts.elastic.co/downloads/packs/x-pack/x-pack-6.0.0.zip//這個檔案和前面下載的那個其實是一個（可省略）
./kibana-plugin install file:///tmp/x-pack-6.0.0.zip （可省略）
以下在128上執行
3.vim /etc/kibana/kibana.yml //增加 （配置檔案）
server.host: 192.168.193.128
#此處建議監聽內網ip（就是本機），監聽外網或全部不安全。如果想監聽外網，可以nginx做代理，然後安全認證，增加安全性
elasticsearch.url: "http://192.168.193.128:9200"
#需要跟主節點通訊，此處要寫主節點的ip
logging.dest: /var/log/kibana.log
#預設在/var/log/messages。可以不指定輸出日誌，預設就好
touch /var/log/kibana.log; chmod 777 /var/log/kibana.log
4.systemctl restart kibana
[root@axinlinux-01 ~]# ps aux|grep kibana
kibana 10254 1.4 7.2 1122032 72296 ? Ssl 16:12 0:24 /usr/share/kibana/bin/../node/bin/node --no-warnings /usr/share/kibana/bin/../src/cli -c /etc/kibana/kibana.yml
root 11121 0.0 0.0 112720 980 pts/0 R+ 16:40 0:00 grep --color=auto kibana[root@axinlinux-01 ~]# netstat -an|grep 5601
tcp 0 0 192.168.193.128:5601 0.0.0.0:* LISTEN
tcp 0 0 192.168.193.128:5601 192.168.193.1:53975 ESTABLISHED
tcp 0 0 192.168.193.128:5601 192.168.193.1:53973 ESTABLISHED
tcp 0 0 192.168.193.128:5601 192.168.193.1:53974 ESTABLISHED
tcp 0 0 192.168.193.128:5601 192.168.193.1:53984 ESTABLISHED
tcp 0 0 192.168.193.128:5601 192.168.193.1:53986 ESTABLISHED
tcp 0 0 192.168.193.128:5601 192.168.193.1:53985 ESTABLISHED瀏覽器裡訪問http://192.168.193.128:5601/
使用者名稱elastic，密碼為之前你設定過的密碼（如果未安裝x-pack，不需要使用者名稱密碼）
若無法輸入使用者名稱密碼，查日誌/var/log/kibana.log
出現錯誤 Status changed from uninitialized to red - Elasticsearch is still initializing the kibana index.
解決辦法：curl -XDELETE http://192.168.133.130:9200/.kibana -uelastic
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
ELK安裝 – 安裝logstash
以下在132上執行
logstash目前不支援java9（如果安裝的idk是1.9的，目前logstash不支援）
直接yum安裝（配置源同前面es的源）
yum install -y logstash //如果慢，就下載rpm包
1.wget https://artifacts.elastic.co/downloads/logstash/logstash-6.0.0.rpm
2.rpm -ivh logstash-6.0.0.rpm
logstash也需要安裝x-pack（可省略）
cd /usr/share/logstash/bin/ （可省略）
./logstash-plugin install file:///tmp/x-pack-6.0.0.zip （可省略）
systemctl enable logstash
systemctl start logstash
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
logstash收集syslog日誌
以下在132上操作
編輯配置檔案 vi /etc/logstash/conf.d/syslog.conf//加入如下內容
#編輯的檔案統統放到conf.d下面，並且以.conf字尾。這樣才能識別到
input { #進入的源日誌
syslog {
type => "system-syslog"
port => 10514
}
}
output { #輸出到哪裡去
stdout {
codec => rubydebug
}
}
檢測配置檔案是否有錯
cd /usr/share/logstash/bin
./logstash --path.settings /etc/logstash/ -f /etc/logstash/conf.d/syslog.conf --config.test_and_exit
以下在132上操作
前臺形式啟動logstash
./logstash --path.settings /etc/logstash/ -f /etc/logstash/conf.d/syslog.conf//這樣可以在螢幕上檢視到日誌輸出，不能敲命令
再開一個終端
檢測是否開啟10514埠：netstat -lnp |grep 10514
vi /etc/rsyslog.conf//在#### RULES下面增加一行
*.* @@127.0.0.1:10514
#這裡的ip應該寫132的ip
systemctl restart rsyslog
從130ssh到132上，可以在logstash前臺的終端上看到ssh登入的相關日誌
結束logstash，在前臺的那個終端上按ctrl c
以下在132上操作
後臺形式啟動logstash
編輯配置檔案 vi /etc/logstash/conf.d/syslog.conf//配置檔案內容改為如下
input {
syslog {
type => "system-syslog"
port => 10514
}
}
output {
elasticsearch {
hosts => ["192.168.130.132:9200"]
index => "system-syslog-%{+YYYY.MM}"
}
}
systemctl start logstash //啟動需要一些時間，啟動完成後，可以看到9600埠和10514埠已被監聽
130上執行curl 'localhost:9200/_cat/indices?v' 可以獲取索引資訊
curl -XGET 'localhost:9200/indexname?pretty' 可以獲指定索引詳細資訊
curl -XDELETE 'localhost:9200/logstash-xxx-*' 可以刪除指定索引
瀏覽器訪問192.168.132.130:5601，到kibana配置索引
左側點選“Managerment”-> “Index Patterns”-> “Create Index Pattern”
Index pattern這裡需要根據前面curl查詢到的索引名字來寫，否則下面的按鈕是無法點選的
[root@version7-0 bin]# curl 'localhost:9200/_cat/indices?v' health status index uuid pri rep docs.count docs.deleted store.size pri.store.size green open system-syslog-2019.05 tqEt99NmSBCzgBmqTOFJaA 5 1 58 0 779.1kb 389.5kb green open .kibana UPgm2HcMSWaGaBEjmyoMpQ 1 1 1 0 6.9kb 3.4kb
以上，curl出來的，其中 system-syslog-2019.05 就是要輸入到kibana介面裡的