CentOS 7.x安裝ELK(Elasticsearch+Logstash+Kibana)

標籤：foreign   系統   snap   虛擬   port   認證   -o   eth0   技術分享   

 

第一次聽到ELK，是新浪的@ARGV 介紹內部使用ELK的情況和情境，當時觸動很大，原來有那麼方便的方式來收集日誌和展現，有了這樣的工具，你幹完壞事，刪除日誌，就已經沒啥作用了。

 

很多企業都表示出他們很關心安全，不過他們壓根就沒看過和關注過自己伺服器的日誌，這是有點諷刺的。先把日誌管理好，然後我們再去深入討論安全。

Mirantis的Fuel，已經引入ELK作為OpenStack的監控工具，所以我們也需要重點去學習一下ELK。

剛好看到一個老外的視頻，介紹CentOS 7安裝ELK，講的很實在，至少我比較喜歡這種形式。

視頻地址 http://yunpan.cn/cd5feBr4diFDn 訪問密碼 019a 文檔的內容，我基本是完全照搬視頻的內容。

動手驗證一遍，順便把CentOS 7也熟悉一下，真的是第一次在CentOS7下來裝東西。目前文檔還有問題。正在完善中。都是使用當前最新的版本軟體。kibana，估計需要投入很大的精力去配置，才能實現很好的展現。

Contents [hide]

• 1 基本介紹
• 2 安裝過程
  • 2.1 準備
  • 2.2 安裝java
  • 2.3 Elasticsearch
  • 2.4 kibana

基本介紹

Elasticsearch  目前最新的版本是1.7.1 ，

Logstash  目前最新版本是1.5.3

kibana  目前最新版本是：4.1.1

Logstash Forwarder，目前最新的版本是0.4.0

安裝過程

建立一個虛擬機器CentOS7.1，分配公網IP，來進行測試

準備

查看作業系統版本

cat /etc/redhat-release CentOS Linux release 7.1.1503 (Core)

查看Selinux狀態

sestatusSELinux status:                 disabled

FQDN

設定FQDN，其實有兩種方法，http://www.opsers.org/base/linux-fqdn-set.html 這位朋友總結的很好。

記住：建立SSL認證的時候需要用到，這是必做

 cat /etc/hostname#i-2053f7hjelk

# cat /etc/hosts127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4::1         localhost localhost.localdomain localhost6 localhost6.localdomain6# hostname loopback address127.0.1.1       i-2053f7hj10.70.26.187    elk.chenshake.com       elk

然後運行

hostname -F /etc/hostname

這時候你可以查看自己的FQDN名字

# hostname -felk.chenshake.com# hostnameelk

安裝Firewall

CentOS7有一個重大改變，用firewalld取代iptables，大家都習慣iptables，所以青雲預設的鏡像，就是使用iptables，沒有安裝firewalld。

yum install firewalld firewall-configsystemctl start firewalld.servicesystemctl enable firewalld.servicesystemctl status firewalld

查看是否生效

firewall-cmd --state

安裝java

yum install java-1.7.0-openjdk

Elasticsearch

wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.7.1.noarch.rpm

安裝

yum localinstall elasticsearch-1.7.1.noarch.rpm

啟動相關服務

照提示做就可以。

systemctl daemon-reloadsystemctl enable elasticsearch.servicesystemctl start elasticsearchsystemctl status elasticsearch

查看Elasticsearch的設定檔

# rpm -qc elasticsearch/etc/elasticsearch/elasticsearch.yml/etc/elasticsearch/logging.yml/etc/init.d/elasticsearch/etc/sysconfig/elasticsearch/usr/lib/sysctl.d/elasticsearch.conf/usr/lib/systemd/system/elasticsearch.service/usr/lib/tmpfiles.d/elasticsearch.conf

查看連接埠使用方式

# netstat -nltpActive Internet connections (only servers)Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      606/sshd            tcp6       0      0 :::9200                 :::*                    LISTEN      3051/java           tcp6       0      0 :::9300                 :::*                    LISTEN      3051/java           tcp6       0      0 :::22                   :::*                    LISTEN      606/sshd

在使用9200和9300連接埠，防火牆開啟連接埠

firewall-cmd --permanent --add-port={9200/tcp,9300/tcp}firewall-cmd --reload

查看防火牆連接埠情況

# firewall-cmd --list-allpublic (default, active)  interfaces: eth0  sources:   services: dhcpv6-client ssh  ports: 9200/tcp 9300/tcp  masquerade: no  forward-ports:   icmp-blocks:   rich rules:

 

kibana

下載tar包

wget https://download.elastic.co/kibana/kibana/kibana-4.1.1-linux-x64.tar.gz

解壓

tar zxf kibana-4.1.1-linux-x64.tar.gz -C /usr/local/cd /usr/local/mv kibana-4.1.1-linux-x64 kibana

建立開機檔案

建立一個kibana.service檔案。

cat > /etc/systemd/system/kibana.service <<EOF[Service]ExecStart=/usr/local/kibana/bin/kibana[Install]WantedBy=multi-user.targetEOF

啟動kibana服務

systemctl enable kibanasystemctl start kibanasystemctl status kibana

查看連接埠

# netstat -nltpActive Internet connections (only servers)Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    tcp        0      0 0.0.0.0:5601            0.0.0.0:*               LISTEN      3830/node           tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      977/sshd            tcp6       0      0 :::9200                 :::*                    LISTEN      978/java            tcp6       0      0 :::9300                 :::*                    LISTEN      978/java            tcp6       0      0 :::22                   :::*                    LISTEN      977/sshd

操作過程基本一樣，開啟5601連接埠

firewall-cmd –permanent –add-port=5601/tcp firewall-cmd –reload firewall-cmd –list-all

這個時候，訪%9

CentOS 7.x安裝ELK(Elasticsearch+Logstash+Kibana)