一、ELK组件概述

ELK是由三个开源项目组成的日志管理解决方案：

• Elasticsearch：分布式搜索和分析引擎
• Logstash：服务器端数据处理管道
• Kibana：数据可视化平台

二、环境准备

配置ELK前需要准备：

1. Linux服务器（推荐CentOS/Ubuntu）
2. Java运行环境（JDK 8+）
3. 至少4GB内存（生产环境建议16GB+）
4. 足够的磁盘空间存储日志

三、分步配置指南

1. 安装Elasticsearch

# 下载并安装Elasticsearch
wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.15.2-linux-x86_64.tar.gz
tar -xzf elasticsearch-7.15.2-linux-x86_64.tar.gz
cd elasticsearch-7.15.2/

# 修改配置文件config/elasticsearch.yml
network.host: 0.0.0.0
cluster.name: my-elk-cluster
node.name: node-1

# 启动Elasticsearch
./bin/elasticsearch -d

2. 安装Logstash

# 下载并安装Logstash
wget https://artifacts.elastic.co/downloads/logstash/logstash-7.15.2.tar.gz
tar -xzf logstash-7.15.2.tar.gz
cd logstash-7.15.2/

# 创建配置文件logstash.conf
input {
  file {
    path => "/var/log/nginx/access.log"
    start_position => "beginning"
  }
}
filter {
  grok {
    match => { "message" => "%{COMBINEDAPACHELOG}" }
  }
}
output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "nginx-access-%{+YYYY.MM.dd}"
  }
}

# 启动Logstash
./bin/logstash -f logstash.conf

3. 安装Kibana

# 下载并安装Kibana
wget https://artifacts.elastic.co/downloads/kibana/kibana-7.15.2-linux-x86_64.tar.gz
tar -xzf kibana-7.15.2-linux-x86_64.tar.gz
cd kibana-7.15.2-linux-x86_64/

# 修改配置文件config/kibana.yml
server.host: "0.0.0.0"
elasticsearch.hosts: ["http://localhost:9200"]

# 启动Kibana
./bin/kibana

四、系统优化建议

• 性能调优：根据日志量调整JVM堆大小
• 安全配置：启用X-Pack安全功能或配置防火墙规则
• 索引管理：设置合理的索引生命周期策略
• 备份策略：定期备份重要索引数据

五、常见问题解决

Q1：Elasticsearch启动失败

A：检查JAVA_HOME环境变量和内存设置

Q2：Logstash无法解析日志

A：检查grok模式是否匹配日志格式

Q3：Kibana无法连接Elasticsearch

A：检查网络连接和elasticsearch.hosts配置