一、ELK系统核心组件解析

在开始部署前，我们先了解ELK栈的三个核心组件：

• Elasticsearch：分布式搜索引擎，负责数据存储和检索
• Logstash：数据处理管道，负责日志收集、过滤和转发
• Kibana：数据可视化平台，提供直观的日志分析界面

二、云服务器环境准备

推荐配置（以中小规模日志系统为例）：

组件	CPU	内存	存储
Elasticsearch	4核+	8GB+	100GB+ SSD
Logstash	2核	4GB	50GB
Kibana	2核	2GB	20GB

操作系统建议使用Ubuntu 20.04 LTS或CentOS 7+，确保已安装Java 11+环境。

三、分步安装指南

1. Elasticsearch安装配置

# 添加Elasticsearch仓库
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

# 安装Elasticsearch
sudo apt update && sudo apt install elasticsearch

# 修改配置文件
sudo nano /etc/elasticsearch/elasticsearch.yml
# 设置network.host: 0.0.0.0
# 设置cluster.name: your-cluster-name

# 启动服务
sudo systemctl start elasticsearch
sudo systemctl enable elasticsearch

2. Logstash安装配置

sudo apt install logstash

# 创建配置文件
sudo nano /etc/logstash/conf.d/logstash.conf

# 示例配置
input {
  beats {
    port => 5044
  }
}
filter {
  grok {
    match => { "message" => "%{TIMESTAMP_ISO8601:timestamp} %{LOGLEVEL:loglevel} %{GREEDYDATA:message}" }
  }
}
output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "logstash-%{+YYYY.MM.dd}"
  }
}

# 启动服务
sudo systemctl start logstash

3. Kibana安装配置

sudo apt install kibana

# 修改配置文件
sudo nano /etc/kibana/kibana.yml
# 设置server.host: "0.0.0.0"
# 设置elasticsearch.hosts: ["http://localhost:9200"]

# 启动服务
sudo systemctl start kibana

四、安全配置最佳实践

• 使用Nginx反向代理并配置HTTPS
• 设置Elasticsearch用户认证（X-Pack基础版）
• 配置防火墙规则，只允许特定IP访问
• 定期备份索引数据

五、常见问题解决方案

Q：Elasticsearch启动失败？
检查/var/log/elasticsearch/elasticsearch.log错误日志，常见问题包括内存不足、文件描述符限制等。

Q：Kibana无法连接Elasticsearch？
确认elasticsearch.hosts配置正确，检查防火墙设置，确保9200端口可访问。

Q：日志数据量过大如何处理？
考虑使用ILM（索引生命周期管理）自动管理索引，或部署多个Elasticsearch节点组成集群。