什么是ELK

ELK是三个开源项目的首字母缩写：

后来官方又加了个小弟 Beats（轻量级数据采集器），所以现在更准确的叫法是 Elastic Stack。但大家还是习惯叫ELK，就像大家还是管"抖音"叫"抖音"而不是"字节跳动短视频平台"一样。

整体架构

先上一张全家福，看看这几位是怎么配合的：

数据流向：日志文件 → Beats采集 → Logstash清洗 → Elasticsearch存储 → Kibana展示

各组件详解

1. Elasticsearch —— 搜索引擎之王

Elasticsearch（简称ES）是整个技术栈的核心，基于Lucene构建的分布式搜索引擎。

核心概念：

为什么快：

• 倒排索引（Inverted Index）：不是"文档→词"，而是"词→文档列表"
• 分布式架构：数据分片存储，查询并行执行
• 近实时（NRT）：写入后1秒内可搜索

基础操作：

# 创建索引
PUT /logs-2024

# 写入文档
POST /logs-2024/_doc
{
  "timestamp": "2024-01-15T10:30:00",
  "level": "ERROR",
  "message": "用户支付失败",
  "service": "payment"
}

# 搜索
GET /logs-2024/_search
{
  "query": {
    "bool": {
      "must": [
        { "match": { "level": "ERROR" } },
        { "match": { "service": "payment" } }
      ]
    }
  }
}

2. Logstash —— 数据管道工

Logstash是一个数据处理管道，负责"收集 → 转换 → 输出"。

三段式配置：

# /etc/logstash/conf.d/nginx.conf

input {
  beats {
    port => 5044
  }
}

filter {
  # 解析Nginx日志格式
  grok {
    match => { 
      "message" => '%{IPORHOST:clientip} - - \[%{HTTPDATE:timestamp}\] "%{WORD:method} %{URIPATHPARAM:request} HTTP/%{NUMBER:httpversion}" %{NUMBER:response} %{NUMBER:bytes}'
    }
  }
  
  # 解析时间
  date {
    match => [ "timestamp", "dd/MMM/yyyy:HH:mm:ss Z" ]
    target => "@timestamp"
  }
  
  # 解析IP地理位置
  geoip {
    source => "clientip"
  }
  
  # 删除不需要的字段
  mutate {
    remove_field => ["message", "agent", "ecs"]
  }
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "nginx-logs-%{+YYYY.MM.dd}"
  }
}

Grok调试技巧：Grok表达式写错了日志就解析不出来，推荐用 Grok Debugger 在线调试。

3. Kibana —— 颜值担当

Kibana是ELK的可视化门面，提供了：

常用功能：

4. Beats —— 轻量级特工

Beats是一系列轻量级数据采集器，比Logstash更省资源。

Filebeat配置示例：

# /etc/filebeat/filebeat.yml

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/nginx/access.log
      - /var/log/nginx/error.log
    tags: ["nginx"]
    
  - type: log
    enabled: true
    paths:
      - /var/log/app/*.log
    tags: ["application"]
    multiline:
      pattern: '^\d{4}-\d{2}-\d{2}'
      negate: true
      match: after

output.logstash:
  hosts: ["logstash:5044"]

# 或者直接输出到ES（跳过Logstash）
# output.elasticsearch:
#   hosts: ["elasticsearch:9200"]

架构演进

根据业务规模，ELK架构也有不同的玩法：

初级架构：单机版

适用场景：开发测试环境、日志量 < 10GB/天

中级架构：标准版

适用场景：生产环境、日志量 10GB~100GB/天

高级架构：带缓冲队列

为什么要加Kafka：

• 削峰填谷：突发流量时Kafka先扛住
• 解耦：Logstash挂了数据不丢
• 多消费：一份数据可以给多个系统用

适用场景：大规模生产环境、日志量 > 100GB/天

实战：从零搭建ELK

Docker Compose一键启动

# docker-compose.yml
version: '3.8'

services:
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.11.0
    container_name: elasticsearch
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=false
      - "ES_JAVA_OPTS=-Xms512m -Xmx512m"
    ports:
      - "9200:9200"
    volumes:
      - es_data:/usr/share/elasticsearch/data

  logstash:
    image: docker.elastic.co/logstash/logstash:8.11.0
    container_name: logstash
    ports:
      - "5044:5044"
    volumes:
      - ./logstash/pipeline:/usr/share/logstash/pipeline
    depends_on:
      - elasticsearch

  kibana:
    image: docker.elastic.co/kibana/kibana:8.11.0
    container_name: kibana
    ports:
      - "5601:5601"
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200
    depends_on:
      - elasticsearch

  filebeat:
    image: docker.elastic.co/beats/filebeat:8.11.0
    container_name: filebeat
    user: root
    volumes:
      - ./filebeat/filebeat.yml:/usr/share/filebeat/filebeat.yml:ro
      - /var/log:/var/log:ro
    depends_on:
      - logstash

volumes:
  es_data:

# 启动
docker-compose up -d

# 访问Kibana
open http://localhost:5601

运维要点

索引生命周期管理（ILM）

日志不能无限存，要设置自动清理策略：

PUT _ilm/policy/logs-policy
{
  "policy": {
    "phases": {
      "hot": {
        "min_age": "0ms",
        "actions": {
          "rollover": {
            "max_size": "50gb",
            "max_age": "7d"
          }
        }
      },
      "warm": {
        "min_age": "7d",
        "actions": {
          "shrink": { "number_of_shards": 1 },
          "forcemerge": { "max_num_segments": 1 }
        }
      },
      "delete": {
        "min_age": "90d",
        "actions": { "delete": {} }
      }
    }
  }
}

性能优化Checklist

常见问题排查

问题1：ES集群变黄/变红

# 查看集群健康
GET _cluster/health

# 查看未分配的分片
GET _cat/shards?v&h=index,shard,prirep,state,unassigned.reason

# 查看节点状态
GET _cat/nodes?v

问题2：Logstash处理慢

# 检查管道状态
curl -X GET "localhost:9600/_node/stats/pipelines?pretty"

# 常见原因：
# 1. Grok表达式太复杂 → 优化正则
# 2. 外部调用阻塞 → 使用异步
# 3. 资源不足 → 加机器

ELK vs 竞品

总结

一句话总结：

• Elasticsearch = 数据仓库（存得下、查得快）
• Logstash = 数据清洗工（收得来、洗得干净）
• Kibana = 数据门面（看得见、看得懂）
• Beats = 数据快递（轻量、省事）

ELK不是银弹，但在日志管理这个领域，它确实是目前最成熟的方案。用好了，凌晨3点不用起床；用不好，凌晨3点还得手动grep。

参考资料

• 🔗 Elastic官方文档
• 🔗 Elasticsearch权威指南(中文)
• 🔗 Grok Debugger
• 📖 《Elasticsearch实战》
• 📖 《深入理解Elasticsearch》

没有日志的系统就像没有后视镜的车——能开，但迟早要出事。 🚗