分佈式實時日誌：ELK 的部署架構，該如何玩轉？

一、概述

ELK 已經成爲目前最流行的集中式日誌解決方案，它主要是由 Beats、Logstash、Elasticsearch、Kibana 等組件組成，來共同完成實時日誌的收集，存儲，展示等一站式的解決方案。本文將會介紹 ELK 常見的架構以及相關問題解決。

二、ELK 常見部署架構

2.1 Logstash 作爲日誌收集器

這種架構是比較原始的部署架構，在各應用服務器端分別部署一個 Logstash 組件，作爲日誌收集器，然後將 Logstash 收集到的數據過濾、分析、格式化處理後發送至 Elasticsearch 存儲，最後使用 Kibana 進行可視化展示，這種架構不足的是：

Logstash 比較耗服務器資源，所以會增加應用服務器端的負載壓力。

2.2 Filebeat 作爲日誌收集器

該架構與第一種架構唯一不同的是：應用端日誌收集器換成了 Filebeat，Filebeat 輕量，佔用服務器資源少，所以使用 Filebeat 作爲應用服務器端的日誌收集器，一般 Filebeat 會配合 Logstash 一起使用，這種部署方式也是目前最常用的架構。

2.3 引入緩存隊列的部署架構

該架構在第二種架構的基礎上引入了 Redis 緩存隊列（還可以是其他消息隊列），將 Filebeat 收集到的數據發送至 Redis，然後在通過 Logstasth 讀取 Redis 中的數據，這種架構主要是解決大數據量下的日誌收集方案，使用緩存隊列主要是解決數據安全與均衡 Logstash 與 Elasticsearch 負載壓力。

2.4 以上三種架構的總結

第一種部署架構由於資源佔用問題，現已很少使用，目前使用最多的是第二種部署架構，至於第三種部署架構個人覺得沒有必要引入消息隊列，除非有其他需求，因爲在數據量較大的情況下，Filebeat 使用壓力敏感協議向 Logstash 或 Elasticsearch 發送數據。如果 Logstash 正在繁忙地處理數據，它會告知 Filebeat 減慢讀取速度。擁塞解決後，Filebeat 將恢復初始速度並繼續發送數據。

三、問題及解決方案

問題：如何實現日誌的多行合併功能？

系統應用中的日誌一般都是以特定格式進行打印的，屬於同一條日誌的數據可能分多行進行打印，那麼在使用 ELK 收集日誌的時候就需要將屬於同一條日誌的多行數據進行合併。

解決方案：使用 Filebeat 或 Logstash 中的 multiline 多行合併插件來實現。

在使用 multiline 多行合併插件的時候需要注意，不同的 ELK 部署架構可能 multiline 的使用方式也不同，如果是本文的第一種部署架構，那麼 multiline 需要在 Logstash 中配置使用，如果是第二種部署架構，那麼 multiline 需要在 Filebeat 中配置使用，無需再在 Logstash 中配置 multiline。

1、multiline 在 Filebeat 中的配置方式：

如：

pattern: ‘[‘
negate: true
match: after

該配置表示將不匹配 pattern 模式的行合併到上一行的末尾

2、multiline 在 Logstash 中的配置方式

（1）Logstash 中配置的 what 屬性值爲 previous，相當於 Filebeat 中的 after，Logstash 中配置的 what 屬性值爲 next，相當於 Filebeat 中的 before。

（2）pattern => “%{LOGLEVEL}\s*]“ 中的 LOGLEVEL 是 Logstash 預製的正則匹配模式，預製的還有好多常用的正則匹配模式，詳細請看：https://github.com/logstash-plugins/logstash-patterns-core/tree/master/patterns

問題：如何將 Kibana 中顯示日誌的時間字段替換爲日誌信息中的時間？

默認情況下，我們在 Kibana 中查看的時間字段與日誌信息中的時間不一致，因爲默認的時間字段值是日誌收集時的當前時間，所以需要將該字段的時間替換爲日誌信息中的時間。

解決方案：使用 grok 分詞插件與 date 時間格式化插件來實現

在 Logstash 的配置文件的過濾器中配置 grok 分詞插件與 date 時間格式化插件，如：

如要匹配的日誌格式爲：“[DEBUG][20170811 10:07:31,359][DefaultBeanDefinitionDocumentReader:106] Loading bean definitions”，解析出該日誌的時間字段的方式有：

① 通過引入寫好的表達式文件，如表達式文件爲 customer_patterns，內容爲：
CUSTOMER_TIME %{YEAR}%{MONTHNUM}%{MONTHDAY}\s+%{TIME}

注：內容格式爲：[自定義表達式名稱] [正則表達式]

然後 logstash 中就可以這樣引用：

② 以配置項的方式，規則爲：(?< 自定義表達式名稱> 正則匹配規則)，如：

問題：如何在 Kibana 中通過選擇不同的系統日誌模塊來查看數據

一般在 Kibana 中顯示的日誌數據混合了來自不同系統模塊的數據，那麼如何來選擇或者過濾只查看指定的系統模塊的日誌數據？

解決方案：新增標識不同系統模塊的字段或根據不同系統模塊建 ES 索引

1、新增標識不同系統模塊的字段，然後在 Kibana 中可以根據該字段來過濾查詢不同模塊的數據

這裏以第二種部署架構講解，在 Filebeat 中的配置內容爲：

通過新增：log_from 字段來標識不同的系統模塊日誌

2、根據不同的系統模塊配置對應的 ES 索引，然後在 Kibana 中創建對應的索引模式匹配，即可在頁面通過索引模式下拉框選擇不同的系統模塊數據。

這裏以第二種部署架構講解，分爲兩步：

① 在 Filebeat 中的配置內容爲：

通過 document_type 來標識不同系統模塊

② 修改 Logstash 中 output 的配置內容爲：

在 output 中增加 index 屬性，%{type} 表示按不同的 document_type 值建 ES 索引

四、總結

本文主要介紹了 ELK 實時日誌分析的三種部署架構，以及不同架構所能解決的問題，這三種架構中第二種部署方式是時下最流行也是最常用的部署方式，最後介紹了 ELK 作在日誌分析中的一些問題與解決方案，說在最後，ELK 不僅僅可以用來作爲分佈式日誌數據集中式查詢和管理，還可以用來作爲項目應用以及服務器資源監控等場景，更多內容請看官網。

來源：https://my.oschina.net/feinik/blog/1580625

本文由 Readfog 進行 AMP 轉碼，版權歸原作者所有。
來源：https://mp.weixin.qq.com/s/NAbHrI3Tc5s2E-KRVOt1Ew

猜你喜歡