ELK 做为交换机和路由器日志管理系统的简单实践！

硬件环境：

1. 
   

   1. IBM System X3650m3

   2. CPU：Xeon E5620 2.4GHz

   3. 内存：8G

   4. 硬盘：300G（RAID1)

 软件环境：

        a. 系统：CentOS6.5

        b. E : elasticsearch-2.1.1.rpm

            L : logstash-2.1.1-1.noarch.rpm

            k : kibana-4.3.1-linux-x64.tar.gz

        c.  python-meld3-0.6.7-1.el6.x86_64.rpm

        d. supervisor-3.0-1.gf.el6.noarch.rpm

    注： logstash自带的启动脚本有问题，因此使用supervisor来管理logstash的服务器进程

一.

 1. 安装logstash：

yum -y localinstall logstash-2.1.1-1.noarch.rpm

  2. 配置logstash（/etc/logstash/conf.d/logstash.conf,  默认没有须要本身编写）

input{
    udp{
        port => 514  #用于接收交换机和路由器的日志的服务器端口
        type => "switch_route"
    }
}
filter{
    if [type] == "switch_route" {
        grok{
            #用于过滤日志信息，NUMBER等大写字母表示的是logstash自带的正则模式，冒号后面的表示自定义的显示字段
            match => ["message", "<%{NUMBER:message_type_id}>%{NUMBER:internal_id}: %{SYSLOGTIMESTAMP:message_timestamp}: %{GREENDATA"}]
        }
        #用于解析syslog的severity 和 facility
        syslog_pri{}
    }
}
output{
    #stdout{
    #    codec => rubydebug #将数据输出到标准输出，主要用于调试
    #}
    elasticsearch{
        hosts => ['127.0.0.1:9200'] #指定elasticsearch的服务器，能够指定多个用逗号分隔
        workers => 5 #elasticsearch初始启动多少工做进程
        template_overwirte => true #表示当单独指定模版文件的时候是否覆盖默认的模板
    }
}

3. 配置supervisor并启动logstash服务

1. supervisor配置(/etc/supervisord.d/logstash.ini)：
[program:logstash]
directory = /opt/logstash
command = /opt/logstash/bin/logstash -f /etc/logstash/conf.d/logstash -l /var/log/logstash/logstash.log
2. 启动logstash服务器
supervisorctl start logstash
3. 验证已经监听UDP的514端口
lsof -i:514

二.

1. 安装elasticsearch：

yum -y localinstall elasticsearch-2.1.1.rpm

2. 启动elasticsearch服务

service elasticsearch start

3. 验证是否已经启用9200和9300端口

lsof -i:9200/9300

三.

1. 解压kibana到/opt目录下
   

tar xf kibana-4.3.1-linux-x64.tar.gz -C /opt
ln -s kibana-4.3.1-linux-x64 kibana

  2. 配置supervisor用于启动kibana进程

配置文件路径：/etc/supervisord.d/kibana.ini
[program:kibana]
directory = /opt/kibana
command = /opt/kibana/bin/kibana

  3. 启动kibana服务

supervisorctl start kibana

  4. 验证kibana服务进程是否已经监听5601端口

lsof -i:5601

四.

    此时，能够在浏览器中输入http://127.0.0.1:5601 既能够访问kibana了

其余：

    elasticsearch提供了restAPI能够经过浏览器来查看elasticsearch服务是否已经有包含数据，以及其余一些信息，例如查看是否已经接受到了数据：

curl http://127.0.0.1:9200/_search?pretty

    elasticsearch数据的存储路径是：

/var/lib/elasticsearch/elasticsearch/