ELK 做爲交換機和路由器日誌管理系統的簡單實踐！

硬件環境：

1. 
   

   1. IBM System X3650m3

   2. CPU：Xeon E5620 2.4GHz

   3. 內存：8G

   4. 硬盤：300G（RAID1)

 軟件環境：

        a. 系統：CentOS6.5

        b. E : elasticsearch-2.1.1.rpm

            L : logstash-2.1.1-1.noarch.rpm

            k : kibana-4.3.1-linux-x64.tar.gz

        c.  python-meld3-0.6.7-1.el6.x86_64.rpm

        d. supervisor-3.0-1.gf.el6.noarch.rpm

    注： logstash自帶的啓動腳本有問題，因此使用supervisor來管理logstash的服務器進程

一.

 1. 安裝logstash：

yum -y localinstall logstash-2.1.1-1.noarch.rpm

  2. 配置logstash（/etc/logstash/conf.d/logstash.conf,  默認沒有須要本身編寫）

input{
    udp{
        port => 514  #用於接收交換機和路由器的日誌的服務器端口
        type => "switch_route"
    }
}
filter{
    if [type] == "switch_route" {
        grok{
            #用於過濾日誌信息，NUMBER等大寫字母表示的是logstash自帶的正則模式，冒號後面的表示自定義的顯示字段
            match => ["message", "<%{NUMBER:message_type_id}>%{NUMBER:internal_id}: %{SYSLOGTIMESTAMP:message_timestamp}: %{GREENDATA"}]
        }
        #用於解析syslog的severity 和 facility
        syslog_pri{}
    }
}
output{
    #stdout{
    #    codec => rubydebug #將數據輸出到標準輸出，主要用於調試
    #}
    elasticsearch{
        hosts => ['127.0.0.1:9200'] #指定elasticsearch的服務器，能夠指定多個用逗號分隔
        workers => 5 #elasticsearch初始啓動多少工做進程
        template_overwirte => true #表示當單獨指定模版文件的時候是否覆蓋默認的模板
    }
}

3. 配置supervisor並啓動logstash服務

1. supervisor配置(/etc/supervisord.d/logstash.ini)：
[program:logstash]
directory = /opt/logstash
command = /opt/logstash/bin/logstash -f /etc/logstash/conf.d/logstash -l /var/log/logstash/logstash.log
2. 啓動logstash服務器
supervisorctl start logstash
3. 驗證已經監聽UDP的514端口
lsof -i:514

二.

1. 安裝elasticsearch：

yum -y localinstall elasticsearch-2.1.1.rpm

2. 啓動elasticsearch服務

service elasticsearch start

3. 驗證是否已經啓用9200和9300端口

lsof -i:9200/9300

三.

1. 解壓kibana到/opt目錄下
   

tar xf kibana-4.3.1-linux-x64.tar.gz -C /opt
ln -s kibana-4.3.1-linux-x64 kibana

  2. 配置supervisor用於啓動kibana進程

配置文件路徑：/etc/supervisord.d/kibana.ini
[program:kibana]
directory = /opt/kibana
command = /opt/kibana/bin/kibana

  3. 啓動kibana服務

supervisorctl start kibana

  4. 驗證kibana服務進程是否已經監聽5601端口

lsof -i:5601

四.

    此時，能夠在瀏覽器中輸入http://127.0.0.1:5601 既能夠訪問kibana了

其餘：

    elasticsearch提供了restAPI能夠經過瀏覽器來查看elasticsearch服務是否已經有包含數據，以及其餘一些信息，例如查看是否已經接受到了數據：

curl http://127.0.0.1:9200/_search?pretty

    elasticsearch數據的存儲路徑是：

/var/lib/elasticsearch/elasticsearch/