docker中部署elk需用docker-compose统一管理三服务，确保同网络通信、版本一致（如v8.12+），配置elasticsearch绑定0.0.0.0、logstash输入过滤输出管道、kibana连接es并创建索引模式。
在 Docker 中部署 ELK（Elasticsearch + Logstash + Kibana）日志采集系统，核心是用容器快速启动三个服务并确保它们网络互通、配置协同。不依赖复杂编排也能跑起来，但要注意版本兼容、内存限制和基础安全配置。
用 docker-compose 一键拉起三件套
推荐使用 docker-compose.yml 统一管理，避免手动启停和网络配置出错。以下是一个稳定可用的 v8.12+ 版本组合示例（Elasticsearch、Logstash、Kibana 同版本可免兼容问题）：
创建 docker-compose.yml：
- 指定
networks: elk让三者在同一个自定义桥接网络中通信 - Elasticsearch 需要调大
vm.max_map_count=262144（宿主机执行：sudo sysctl -w vm.max_map_count=262144） - 关闭 X-Pack 安全认证（开发环境可设
xpack.security.enabled: false；生产务必启用并配置 TLS/密码） - Logstash 挂载自定义配置文件（如
logstash.conf），用于监听 Filebeat 或 Syslog 输入
Logstash 配置日志输入与过滤
Logstash 是管道中枢，重点在于 input → filter → output 三段式配置。常见实战场景：
-
接收 Filebeat 发送的日志：input 使用
beats { port => 5044 }，需在 Filebeat 的output.logstash中指向容器 IP（如logstash:5044） -
解析 Nginx 日志：filter 加
grok { match => { "message" => "%{NGINXACCESS}" } }，并预定义 pattern 或直接用%{COMBINEDAPACHELOG} -
输出到 Elasticsearch：output 写
elasticsearch { hosts => ["http://elasticsearch:9200"] index => "nginx-access-%{+YYYY.MM.dd}" }
Kibana 可视化与索引管理
Kibana 启动后访问 http://localhost:5601，首次使用需初始化：
- 进入 Stack Management → Index Patterns，创建匹配 Logstash 输出的索引名（如
nginx-access-*） - 选择时间字段（如
@timestamp），保存后即可在 Discover 查看实时日志 - 用 Visualize Library 做状态码分布、响应时间趋势等图表，再拼成 Dashboard
- 注意：Kibana 默认连接
http://elasticsearch:9200，该地址必须是容器内可解析的（即同 docker network）
小技巧与避坑提醒
实际部署常卡在几个细节上：
- 容器间用服务名通信（如
elasticsearch），别写localhost或127.0.0.1—— 那是各自容器内部回环 - Elasticsearch 默认绑定
127.0.0.1，需在elasticsearch.yml加network.host: 0.0.0.0并配discovery.type: single-node - Logstash 启动慢？检查配置语法：
docker run --rm -it -v $(pwd)/logstash.conf:/usr/share/logstash/pipeline/logstash.conf docker.elastic.co/logstash/logstash:8.12.2 -t - 中文乱码？在 Logstash input 插件里加
codec => plain { charset => "UTF-8" }
