Linux怎么使用ELK日志分析_Linux如何搭建日志收集平台【方法】-LINUX-PHP中文网

logstash启动失败主因是java版本不兼容（禁用jdk 17+，推荐openjdk 11）或配置语法错误（如缺右括号、字段拼写错），需用logstash -t校验；filebeat直连es更轻量但缺过滤能力；kibana无结果多因索引模式时间字段不匹配；es内存压力大可临时关闭refresh_interval。

linux怎么使用elk日志分析_linux如何搭建日志收集平台【方法】

ELK 里 `logstash` 启不来，常见是 Java 版本或配置语法错

Logstash 依赖 Java，但不支持 JDK 17+（截至 8.13），强行用会报 java.lang.UnsupportedClassVersionError。另外，logstash.conf 里少一个右大括号、字段名拼错成 filed，都会导致启动失败且日志只显示“pipeline aborted”，没具体行号。

确认 Java 版本：java -version，推荐用 OpenJDK 11（官方明确兼容）
logstash -t -f /etc/logstash/conf.d/app.conf 先做配置校验，别直接 systemctl start
输入插件别写 path => "/var/log/*.log" —— glob 不支持 * 开头，得用 "/var/log/**/*.log" 或分多行写死路径

Filebeat 直连 Elasticsearch 比走 Logstash 更轻量，但少过滤能力

如果只是收 Nginx 或系统日志，不做字段拆解、正则清洗、IP 地理位置 enrich，Filebeat + ES 是更稳的选择。Logstash 启动慢、内存吃 1G+，而 Filebeat 常驻进程不到 50MB。

Filebeat 输出到 ES：删掉 output.logstash 块，改用 output.elasticsearch，注意配 hosts 和 index 名
想保留 Logstash 的 grok 解析？那就把 Filebeat 的 output.logstash 指向本地 localhost:5044，Logstash 输入插件用 beats 协议监听
Filebeat 的 fields 可加 service 名、环境标签，ES 里能直接聚合，比在 Logstash 里 add_field 更早介入

Kibana 找不到索引，大概率是索引模式没匹配上时间字段

ES 里能看到数据，Kibana 却提示 “No results match your search”，八成是创建 Index Pattern 时选错了时间字段，或者日志里压根没 @timestamp 或 time 这类标准字段。

先查一条文档：curl -XGET "http://localhost:9200/myapp-logs-2024.06.15/_search?size=1"，看返回里有没有时间字段，值是不是合法 ISO 格式
Index Pattern 名要和实际索引名一致，比如索引叫 nginx-access-2024.06.*，Pattern 就填 nginx-access-*，别漏 *
如果日志时间在 log_time 字段，Kibana 创建 Pattern 时手动选它，别硬套默认的 @timestamp

Elasticsearch 内存爆掉，别急着加机器，先关掉 `refresh_interval`

日志写入量大时，ES 默认每秒刷一次内存 buffer 到 segment，频繁 merge + refresh 会拖垮 heap。尤其单机部署 ELK，docker run -e "ES_JAVA_OPTS=-Xms2g -Xmx2g" 还扛不住，问题不在内存大小，而在刷新节奏。

批量导入或高峰写入期，临时关自动刷新：PUT /myapp-logs-2024.06.15/_settings { "refresh_interval": "-1" }
写完再开：PUT /myapp-logs-2024.06.15/_settings { "refresh_interval": "1s" }
别长期关——关太久会导致搜索延迟高，且 segment 太大会拖慢 recovery

Logstash 配置里一个空格能卡住整个 pipeline，Kibana 时间范围选错会让查询永远为空，ES 的 refresh_interval 和 number_of_replicas 改动后不会立即生效……这些细节不跑一遍根本记不住。