随着58集团业务的飞速发展，日志数量也呈现指数级增长。传统的日志处理方案，已不再适用，此时急需一套功能强大、稳定可靠的日志处理系统。
生产环境下使用 logstash 经常会遇到多种格式的日志，比如 mongodb 的慢日志，nginx或apache的访问日志，系统syslog日志，mysql的慢日志等
Logstash是一款轻量级的日志搜集处理框架，可以方便的把分散的、多样化的日志搜集起来，并进行自定义的处理，然后传输到指定的位置，比如某个服务器或者文件。
日志收集系统的原理是这样的，首先应用集成了Logstash插件，通过TCP向Logstash传输日志。Logstash接收到日志后根据日志类型将日志存储到Elasticsearch的不同索引上去，Kibana从Elasticsearch中读取日志，然后我们就可以在Kibana中进行可视化日志分析了，具体流程图如下。
关键是 tags => [“nginx_access_log”] ，这是在对自己这个输入源的日志进行打标
本文介绍了如何利用ELK（Elasticsearch、Logstash、Kibana）技术搭建日志分析平台，以及该平台的一些重要组件和架构设计。同时，还探讨了如何使用Filebeat进行日志收集和传输，以及自研程序如何与ELK集成。
该文章介绍了如何基于Logstash的配置文件，实现不同来源的日志的收集、处理和转发。主要包括了Kafka、Filebeat、Fluentd、Graylog、Elasticsearch、Kibana和Logstash等多个组件的配置和使用方法。同时，文章还提供了在CentOS系统上部署Logstash的步骤和示例配置文件。
导读：Elasticsearch是一个分布式的搜索和分析引擎，可以用于全文检索、结构化检索和分析，并能将这三者结合起来。Elasticsearch基于Lucene开发，现在是使用最广的开源搜索引擎之一。Elasticsearch可以应用于在/离线日志流水、用户标签画像、数据库二级缓存、安全风控行为数据、图数据库索引、监控数据、Wiki文档检索等应用场景。58同城有自己的主搜，而一些内部创新搜索业务和大规模的数据实时OLAP ( On-Line Analytical Processing，联机分析处理 ) 则是使用Elasticsearch。
在项目的 resources 目录下创建 logback-spring.xml 文件，也就是日志输出配置文件SpringBoot默认的使用的logback日志，必须叫这个名字！！！
https://www.elastic.co/guide/cn/elasticsearch/guide/current/index.html
开源日志分析系统logstash 1. MySQL和ES同步 ---- 编程式 使用之前的elasticdump，手动变成生成json文件，编写shellscript导入ES。后续的数据新增使用PHP或kava客户端进行编程触发同步。 使用插件（没有什么特别好的插件） 国人编写的go-mysql-elasticsearch（go开发） 官方推荐基于logstash的插件logstash-input-jdbc 自己写 采用阿里巴巴的一个开源项目canal，可以模拟mysql从服务器。封装了b
今天在使用Logstash的jdbc_input插件同步Mysql数据时，本来应该能搜索出10条数据，结果在Elasticsearch中只看到了4条，终端中只给出了如下信息
展示上面的例子，只是想说明，不同大版本(5.1与5.5)的mysql slow log 格式不一致，相同大版本小版本不同的mysql也不一致，并且不同mysql变种(percona server) 也会不一致，即便版本都一致了，同一个slowlog中的不同记录格式也不尽相同，这就是它麻烦的地方
在logstash01主机上配置logstash，使其能够消费kafka集群a中主题为"wordpress-nginx-log"的消息。
作者：Json、 一、ELK搭建篇 官网地址: https://www.elastic.co/cn/ 官网权威指南: https://www.elastic.co/guide/cn/elasticsearch/guide/current/index.html 安装指南： https://www.elastic.co/guide/en/elasticsearch/reference/5.x/rpm.html ELK是Elasticsearch、Logstash、Kibana的简称，这三者是核心套件，但并非全
官网权威指南:https://www.elastic.co/guide/cn/elasticsearch/guide/current/index.html
目前项目采用的是更新数据后再更新elasticsearch,各种历史原因导致很多数据并不是同步的，业务互相紧耦合, 所以需要调研适合团队发展的 db同步es机制,从业务层面剔除这部分功能维护。 下面是本人在搭建、配置、调试过程中一些总结和踩完坑后整理的配置。
基于上述的需求分析，使用ES搜索引擎能够完全满足相关的搜索需求，基于此在处理整体搜索后台服务上，主要考虑下面几个问题：
为什么要使用日志分析平台 对于日志的重要性，都会很认同，不管是一个小网站，还是一个大系统，都会用到日志 网站初期，一般就是查看web服务器访问日志，例如，平时关注一下404访问，有的话及时处理一下；网站访问变慢了，查看一下是哪些访问比较频繁、哪些资源占流量等等 如果管理员很勤劳，这时可能都不需要什么工具，直接打开日志文件用肉眼就能看个差不多了 随着网站规模的发展，访问日志越来越多，勤劳的管理员肉眼搞不定了，需要学习使用一些日志处理小程序，例如linux下，要使用 grep、sed、awk 等命令实现检索和
日志在系统中扮演着监护人的身份，它是保障高可靠服务的基础，记录了系统的一举一动。运维层面、业务层面、安全层面都有日志的身影，系统监控、异常处理、安全、审计等都离不开日志的协助。
在项目初期的时候，大家都是赶着上线，一般来说对日志没有过多的考虑，当然日志量也不大，所以用log4net就够了，随着应用的越来越多，日志散落在各个服务器的logs文件夹下，确实有点不大方便，这个时候就想到了，在log4net中配置 mysql的数据源，不过这里面有一个坑，熟悉log4net的同学知道写入mysql有一个batch的阈值，比如说batchcache中有100条，才写入mysql，这样的话，就有一个延迟的效果，而且如果batchcache中不满100条的话，你在mysql中是看不到最新的100条日志。而且采用中心化的mysql，涉及到tcp传输，其中的性能大家也应该明白，而且mysql没有一个好的日志界面，只能自己去写UI，所以还还得继续寻找其他的解决方案，也就是本篇的ELK。
ElasticSearch 是一款强大的分布式搜索和分析引擎，支持多种方式同步数据和日志。下面介绍几种常见的同步方式：
以上是我的节点及机器上安装的相关软件，东西会比较多，但是运行都离不开我们上面的架构图。
前面我们介绍了Spring Boot 整合 Elasticsearch 实现数据查询检索的功能，在实际项目中，我们的数据一般存储在数据库中，而且随着业务的发送，数据也会随时变化。
把日志放到node节点的主机目录上，在到主机目录上配置rsyslog收集到专门的日志服务器。 从这个日志服务器启一个logstash或者filebeat写入es。 不建议直接从每个节点直接写入es。因为日志量大的时候可能es就会被弄死，另外这么多的filebeat也是要占用不少资源的。 如果觉得麻烦，就每个node写个文件监控。自动添加rsyslog的配置然后重启rsyslog。 这样可以保证日志不丢，还能有序插入es不会因为业务高峰把es弄死，还可以利用logstash再进行一些日志格式化的需求。 目前用这个方案，把istio的所有envoy访问日志、traefik、应用程序日志收集到es上稳定的很。现在每15分钟大概150万条记录。
数据，让一切有迹可循，让一切有源可溯。ELK是集分布式数据存储、可视化查询和日志解析于一体的日志分析平台。ELK=elasticsearch+Logstash+kibana，三者各司其职，相互配合，共同完成日志的数据处理工作。ELK各组件的主要功能如下：
本文描述问题及解决方法适用于 腾讯云 Elasticsearch Service（ES）。
Elastic 技术栈之 Filebeat 简介 Beats 是安装在服务器上的数据中转代理。 Beats 可以将数据直接传输到 Elasticsearch 或传输到 Logstash 。 Beats
在我们使用mysql和elasticsearch结合使用的时候，可能会有一些同步的需求，想要数据库和elasticsearch同步的方式其实有很多。
在今天的这个教程里，我们来针对初学者如何快速地了解 Beats 是什么，并如何快速地部署 Beats。如果你想了解更多关于 Beats 方面的知识，可以参阅我的文章。
在一个完整的项目中，不仅仅是要完成正常的业务开发。同时为了提高一些开发效率、系统异常的追踪、系统功能的扩展等等因素，往往会用到系统在开发、运行过程中所产生的日志。这就需要我们有一个完善的日志系统来存储这些数据。本文将分享如何设计一个高可用、可扩展的分布式日志系统。
Logstash是一种分布式日志收集框架，经常与ElasticSearch，Kibana配置，组成著名的ELK技术栈，非常适合用来做日志数据的分析。logstash具备实时数据传输能力的管道，负责将数据信息从管道的输入端传输到管道的输出端；与此同时这根管道还可以让你根据自己的需求在中间加上滤网，Logstash提供里很多功能强大的滤网以满足你的各种应用场景。当然它可以单独出现，作为日志收集软件，你可以收集日志到多种存储系统或临时中转系统，如MySQL，Redis，Kakfa，HDFS, Lucene，Solr等，并不一定是ElasticSearch。
ELK 其实并不是一款软件，而是一整套解决方案，是三个软件产品的首字母缩写，Elasticsearch，Logstash 和 Kibana。这三款软件都是开源软件，通常是配合使用，而且又先后归于 Elastic.co 公司名下，故被简称为 ELK 协议栈.
/usr/share/logstash/pipeline/logstash.conf
node1：elasticsearch6.4+filebeat node2：kibana6.4+grafana+filebeat node3：logstash+nginx+filebeat+Redis 由于es很消耗内存，所以我只把es单独运行在一个主机上，并设置主分片为1，副本分片为0，每周定时删除上周的索引数据
虽然作为一个后端开发，可能对日志系统lek的直接应用多过于学习维护，但是我们运维维护的elasticsearch总是崩，每次都说我用得不对，出于这个原因，决定对lek进行一次粗略的学习，对基本概念和使用方法记录和总结。
这篇文章将着重于我对ELK的搭建初体验，基于部署和安装的方便，也为了巩固Docker相关的知识点的学习和熟练运行，尝试在使用Docker来搭建整个ELK系统。
集中, 转换和存储数据, logstach是免费且开放的服务器端数据处理管道, 能够从多个来源采集数据,转换数据,然后将数据发送到您最喜欢的"存储库"中
logstash是一种分布式日志收集框架，开发语言是JRuby，当然是为了与Java平台对接，不过与Ruby语法兼容良好，非常简洁强大，经常与ElasticSearch，Kibana配置，组成著名的ELK技术栈，非常适合用来做日志数据的分析。
Filebeat是一款轻量级日志采集器，可用于转发和汇总日志与文件。Filebeat内置有多种模块（Nginx、MySQL、Redis、Elasticsearch、Logstash等），可针对常见格式的日志大大简化收集、解析和可视化过程，只需一条命令即可。
Author：Gorit Date：2021/4/7 Refer：各种同类文章参考融合 + 自己的思考总结 2021年发表博文： 16/50
实际业务场景中，会遇到基础数据存在Mysql中，实时写入数据量比较大的情景。迁移至kafka是一种比较好的业务选型方案。
Logstash与Elasticsearch的安装就不多说了，我之前有两篇文章写的比较详细了ElasticSearch + Logstash + Kibana 搭建笔记 和 Filebeat+Logstash+ElasticSearch+Kibana搭建Apache访问日志解析平台。
Beats 是 Elastic Stack 的一部分，它是一系列轻量级的数据采集器。Beats 可以在你的服务器上采集各种类型的数据，并将这些数据发送到 Elasticsearch 或者 Logstash 进行后续处理。
（一）logstash是什么？ logstash是一种分布式日志收集框架，开发语言是JRuby，当然是为了与Java平台对接，不过与Ruby语法兼容良好，非常简洁强大，经常与ElasticSearch，Kibana配置，组成著名的ELK技术栈，非常适合用来做日志数据的分析。 当然它可以单独出现，作为日志收集软件，你可以收集日志到多种存储系统或临时中转系统，如MySQL，redis，kakfa，HDFS, lucene，solr等并不一定是ElasticSearch。 官网下载地址：https:
ES采用UTC 时区，比北京时间早8小时，所以ES读取数据时让最后更新时间加8小时
1） datasource->logstash->elasticsearch->kibana
熟悉 Elastic Stack 的小伙伴对上面的图会感觉并不新鲜，对其中的技术栈也如数家珍，如下图一把梭走起：
安装docker镜像时，先去docker hub上查找对应的官方镜像，然后选择版本，然后根据描述汇中的命令来启动镜像
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
