ELK实战-Logstash：监控日志文件

概述

ELK可以用来实时监控日志文件，并记录。

测试环境

1个CentOS7系统：

• ELK服务器

测试思路

• ELK监控/var/log/messages日志文件，并记录

实战

logstash配置文件

logstash的配置文件（logstash.conf.file）如下

input {
 file {
    path => "/var/log/messages"
    start_position => "beginning"
  }
}
output {
    elasticsearch { hosts => ["localhost:9200"] }
    stdout {}
}

配置文件说明：

• 输入

  • 监控/var/log/messages日志文件

• 输出：

  • 输出到elasticsearch
  • 输出到logstash的标准输出中

启动ELK

• 启动elastaticsearch。参考启动elastaticsearch
• 启动logstash：bin/logstash -f [your_path]/logstash.conf.file。参考启动logstash
• 启动kibana。参考启动kibana

向日志文件写入堆栈

向/var/log/messages中写入日志，我们可以通过logger命令进行，例如执行下面的命令

logger -p info "hello, ELK"

注意：rsyslog是向/var/log/messages写入的，所以上面的方法是可以达到向文件写入日志的效果

验证

• 在向日志文件写入堆栈后，便可以看到在logstash的标准输出中便可以看到”hello, ELK”
• 在kibana中也可以看到对应的”hello, ELK”

至此，ELK作为实时监控日志文件的实战完成了。