ELK日志分析平台系统CentOS7环境搭建和基本使用

$ cd /usr/local

$ wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-6.5.4.tar.gz

$ tar -zxvf elasticsearch-6.5.4.tar.gz
$ rm -rf elasticsearch-6.5.4.tar.gz

$ cd elasticsearch-6.5.4/config/

$ vim elasticsearch.yml

# 修改一下ES的监听地址，这样别的机器也可以访问
network.host: 0.0.0.0

# 默认的端口号
http.port: 9200

# enable cors，保证_site类的插件可以访问es
http.cors.enabled: true
http.cors.allow-origin: "*"

#启用单节点
discovery.type: single-node

#默认开启bootstrap检查 关掉
bootstrap.memory_lock: false
bootstrap.system_call_filter: false

useradd elk         #创建用户elk
groupadd elk        #创建组elk
useradd elk -g elk  #将用户添加到组

# 修改文件所有者
chown -R elk:elk /usr/local/elasticsearch-6.5.4/

$ vim /etc/sysctl.conf

vm.max_map_count=655360

$ sysctl -p

$ vim /etc/security/limits.conf

* soft nofile 65536
* hard nofile 131072
* soft nproc 65536
* hard nproc 131072

$ vim /etc/security/limits.d/20-nproc.conf

elk    soft    nproc     65536

# 关闭默认firewalld
$ systemctl stop firewalld.service

# 查看开放端口列表
$ iptables -L –n

# 编辑开放端口信息文件

$ vim /etc/sysconfig/iptables

-A INPUT -p tcp -m tcp --dport 9200 -j ACCEPT

# 重启iptables

service   iptables restart

# 以 elk 用户身份进行启动

$ cd /usr/local/elasticsearch-6.5.4/bin
$ su elk elasticsearch &

# 出现以下json说明启动成功
$ curl http://localhost:9200

# 在自己浏览器输入ip:9200出现以下json则说明成功
http://ip:9200/

# 查找进程号
$ ps -ef | grep elastic
# kill掉这个进程

$ kill -9 进程号

$ cd /usr/local

$ wget https://artifacts.elastic.co/downloads/logstash/logstash-6.5.4.tar.gz

$tar -zxvf logstash-6.5.4.tar.gz
$ rm -rf logstash-6.5.4.tar.gz

# 进入配置文件目录
$ cd logstash-6.5.4/config

# 创建一个自定义的配置文件
$ vim logstash.conf

# 输入最简单的配置- 使用 input 和 output 定义收集日志时的输入和输出的相关配置
input { stdin { } }
output {
    stdout { codec=> rubydebug }
}

# 进入安装包的bin目录
$ cd /logstash-6.5.4/bin

# 启动并指定配置文件 - 我输入了hello world！ 出现如下图则说明成功启动
$  ./logstash -f /usr/local/logstash-6.5.4/config/logstash.conf

# 进入配置文件目录
$ cd /logstash-6.5.4/config

# 创建一个自定义的配置文件
$ vim logstash-test.conf

# 输入最简单的配置- 使用 input 和 output 定义收集日志时的输入和输出的相关配置
input { stdin { } }

output {
    elasticsearch {hosts => "192.168.30.132:9200" } #elasticsearch服务地址
    stdout { codec=> rubydebug }
}

# 同上启动步骤 进入bin,不过这次指定的配置文件是新建的文件 - 我输入了hello world ~ 出现如下图则说明成功 

$ ./logstash -f /usr/local/logstash-6.5.4/config/logstash-test.conf

$ cd /usr/local

$ wget https://artifacts.elastic.co/downloads/kibana/kibana-6.5.4-linux-x86_64.tar.gz

$ tar -zxvf kibana-6.5.4-linux-x86_64.tar.gz

$ mv kibana-6.5.4-linux-x86_64 kibana-6.5.4 # 修改一下文件名称

$ rm -rf kibana-6.5.4-linux-x86_64.tar.gz 

$ cd /usr/local/kibana-6.5.4/config #进入安装的配置目录

$ vim kibana.yml # 修改文件

# 修改以下参数
server.port: 5601          # 开启默认端口5601
server.host: "0.0.0.0"     # 默认值 : “localhost”，此设置指定后端服务器的主机 
elasticsearch.url: "http://localhost:9200"   # 指向elasticsearch服务的ip地址
kibana.index: “.kibana”

# 关闭默认firewalld
$ systemctl stop firewalld.service

# 查看开放端口列表
$ iptables -L –n

# 编辑开放端口信息文件

$ vim /etc/sysconfig/iptables

-A INPUT -p tcp -m tcp --dport 5601 -j ACCEPT

# 重启iptables

$ service iptables restart

$ cd /usr/local/kibana-6.5.4/bin

$ ./kibana &

# 注意哈

# 关闭我都用的kill哈哈哈 参考上面的步骤就行~

# 如果你之前启动的都停止了，需要按照之前启动步骤把Elasticsearch和Logstash启动，这样才可以完整的操作ELK~~~

# 在自己浏览器访问ip:5601出现以下界面~那么恭喜你~成功~

# 新建index步骤和Windows模式一样一样的，在这里就不重复啦~可参考 https://www.cnblogs.com/wanghao1874/p/10150236.html