Linux云服务器上安装和配置Graylog完整指南

一、前期环境准备

在开始安装之前，我们需要确保服务器满足以下要求：

• 操作系统：Ubuntu 20.04/22.04 LTS或CentOS 7/8
• 内存：至少4GB（生产环境建议8GB以上）
• 存储：50GB可用空间（根据日志量调整）
• Java环境：OpenJDK 11+
• 端口开放：9000（Web界面），12201/12202（GELF输入）

二、安装核心组件

1. 安装Java环境

# Ubuntu/Debian
sudo apt update
sudo apt install -y openjdk-11-jre

# CentOS/RHEL
sudo yum install -y java-11-openjdk

2. 安装MongoDB（4.2+版本）

# Ubuntu
wget -qO - https://www.mongodb.org/static/pgp/server-4.4.asc | sudo apt-key add -
echo "deb [ arch=amd64,arm64 ] https://repo.mongodb.org/apt/ubuntu focal/mongodb-org/4.4 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.4.list
sudo apt update
sudo apt install -y mongodb-org

# 启动服务
sudo systemctl enable --now mongod

3. 安装Elasticsearch（7.10.x版本）

# 导入GPG密钥
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

# 添加仓库
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt update

# 安装特定版本
sudo apt install -y elasticsearch-7.10.2

# 配置JVM堆大小
sudo nano /etc/elasticsearch/jvm.options
# 修改为：-Xms2g -Xmx2g

# 启动服务
sudo systemctl enable --now elasticsearch

三、Graylog主程序安装

1. 下载安装包

wget https://packages.graylog2.org/repo/packages/graylog-4.3-repository_latest.deb
sudo dpkg -i graylog-4.3-repository_latest.deb
sudo apt update
sudo apt install -y graylog-server graylog-enterprise-plugins

2. 生成密码和密钥

# 生成password_secret
openssl rand -base64 96 | tr -d '\n'

# 生成root_password_sha2（将password替换为实际密码）
echo -n "password" | sha256sum | awk '{print $1}'

3. 配置server.conf

sudo nano /etc/graylog/server/server.conf

# 重要配置项：
password_secret = [上一步生成的密钥]
root_password_sha2 = [上一步生成的SHA256]
http_bind_address = 0.0.0.0:9000
elasticsearch_hosts = http://localhost:9200
mongodb_uri = mongodb://localhost:27017/graylog

4. 启动Graylog服务

sudo systemctl daemon-reload
sudo systemctl enable --now graylog-server

# 查看日志确认启动状态
journalctl -u graylog-server -f

四、系统配置与优化

1. Nginx反向代理配置（可选）

server {
    listen 80;
    server_name graylog.example.com;

    location / {
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_pass http://127.0.0.1:9000;
    }
}

2. 配置系统日志输入

通过Web界面（http://your-server-ip:9000）登录后：

1. 进入System → Inputs
2. 选择GELF UDP输入
3. 配置端口12201
4. 点击"Launch input"

3. 索引集配置

1. 进入System → Indices
2. 创建新的索引集（如graylog_default）
3. 设置分片数（建议与CPU核心数相同）
4. 配置保留策略（如30天自动删除）

五、常见问题解决

1. 性能优化建议

• 为Elasticsearch分配不超过50%的物理内存
• 使用SSD存储提高I/O性能
• 定期优化索引（Graylog会自动处理）

2. 安全配置建议

• 启用HTTPS加密通信
• 配置IP访问限制
• 定期备份配置文件和数据

3. 监控与告警

Graylog内置了系统监控功能，建议：

• 配置邮件/Slack通知
• 设置磁盘空间告警阈值
• 监控消息处理延迟