Filebeat日志采集与ELK实战指南

在server5上面执行
# vim /etc/logstash/conf.d/beats.conf
input {
  beats {
    port => 5044
  }
}
filter {
grok {
match => { "message" => "%{HTTPD_COMBINEDLOG}" }
}
}
output {
elasticsearch {
hosts => ["http://192.168.223.170:9200"]
index => "apachelog-%{+YYYY.MM.dd}"
}
}
启动logstash
/usr/share/logstash/bin/logstash -rf /etc/logstash/conf.d/beats.conf
在server4上执行
修改filebeat输出，并且将上面的9200端口输出注释掉
vim /etc/filebeat/filebeat.yml
output.logstash:
hosts: ["192.168.223.174:5044"]
systemctl  restart filebeat.service

用其他主机访问server4，server5将收到日志

ES数据备份与恢复

快照是 Elasticsearch 官方唯一推荐的数据备份机制。 它对集群中的索引数据做增量镜像备份，把索引的分片段文件（segments）保存到外部仓库。

关键特点

1.增量备份 第一次快照：复制全部数据； 之后新建快照：只复制新增、修改的数据文件，不变的文件直接复用，速度快、节省空间。

2.在线备份 集群不用停机，创建快照时集群正常读写，不会锁死索引。

3.备份最小单位：索引 可以备份全部索引，也可以单独备份某几个索引（比如你的 apachelog-*）。

4.快照文件独立于 ES 内部数据目录，可以拷贝、迁移，支持跨集群恢复。

备份（Snapshot 创建）

执行快照操作：ES 遍历指定索引，将索引底层的数据段文件复制到快照仓库，生成一套快照文件。 一条快照记录 = 某一时间点的索引数据副本。

恢复（Restore）概念

把仓库里的快照数据，重新加载回当前 ES 集群，生成索引数据。

不能恢复到已经处于打开状态的同名索引

两种思路：

1.先删除原有同名索引，再恢复；

2.使用 rename_pattern 将数据恢复成新名字索引，不覆盖原有数据。

NFS 服务端：192.168.223.173（存放共享目录 /data/es-backup） 客户端：170、171、172（三台执行 mount 挂载）

先给server1、2、3、4都安装nfs-utils
yum install -y nfs-utils
在server4启用 NFS 服务、配置共享
编辑共享配置
vim /etc/exports
/data/es-backup *(rw,sync,no_root_squash)
创建目录、授权
mkdir -p /data/es-backup
chmod 777 /data/es-backup
生效配置、启动自启
exportfs -r
systemctl start nfs-server
systemctl enable nfs-server
在【三台客户端：170、171、172】执行挂载
先创建本地挂载点
mkdir -p /data/es-backup
执行挂载
mount 192.168.223.173:/data/es-backup /data/es-backup

滚动重启 = 一台一台依次重启 ES 节点，不用全集群同时停机，业务不中断。

恢复命令

null = 删除这条临时配置，恢复系统默认值 all

执行完毕后，集群开始自动补齐所有缺失的副本分片，集群状态变回 green（绿色健康）

这个操作只是临时阻止分片迁移，不会停止正在提供服务的分片读写，所以业务不中断，这就是 “滚动重启” 的优势。

通过API创建仓库

过 API 创建快照仓库，是手动向 Elasticsearch REST 接口提交 JSON 请求完成仓库注册，适合自动化脚本部署。

3.1 创建及查看快照

备份所有索引
PUT /_snapshot/my_backup/snapshot_all_20260812
含义：在名为 my_backup 的快照仓库中，创建一个名称为 snapshot_all_20260812 的快照备份。
查看快照状态
列出仓库中所有快照
GET /_snapshot/my_backup/_all

备份指定索引
PUT /_snapshot/my_backup/snapshot_syslog_20260812
{
  "indices": "syslog-*",
  "ignore_unavailable": true, 
  "include_global_state": false
}
查看快照
GET /_snapshot/my_backup/snapshot_syslog_20260812

3.2 恢复快照

首先在Elasticsearch页面删除 syslog 索引
使用API的方式恢复快照
POST /_snapshot/my_backup/snapshot_syslog_20260812/_restore
查看恢复进度
GET /_recovery  # 查看所有索引的恢复状态

回到elasticsearch-head页面，刷新查看syslog重新回到集群

3.3 删除快照

删除快照
DELETE /_snapshot/my_backup/snapshot_all_20260812

ES集群监控

监控核心指标（必监控）

集群健康状态 cluster.health green/yellow/red

green：所有主分片 + 副本分片正常分配

yellow：主分片全部就绪，副本未分配（常见：单节点无副本）

red：存在未分配主分片，数据不可访问

未分配分片数量、延迟分配时长集群节点总数、数据节点数、主节点数pending_tasks（待执行任务队列堆积，极易引发集群卡顿）

4.1 启用xpack 证书

启用 X-Pack 证书 = 给 ES 集群所有网络通信加上 TLS 加密，实现流量加密 + 节点身份可信；没开启证书kibana不能监测到ES集群。

在server1上生成证书
[root@server1 ~]# cd /usr/share/elasticsearch/
[root@server1 elasticsearch]# bin/elasticsearch-certutil ca
[root@server1 elasticsearch]# bin/elasticsearch-certutil cert --ca elastic-stack-ca.p12
[root@server1 elasticsearch]# cp elastic-certificates.p12 /etc/elasticsearch
[root@server1 elasticsearch]# cd /etc/elasticsearch/
[root@server1 elasticsearch]# chown elasticsearch elastic-certificates.p12
[root@server1 elasticsearch]# vim elasticsearch.yml
...
http.cors.allow-headers: Authorization,X-Requested-With,Content-Length,Content-Type
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: /etc/elasticsearch/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: /etc/elasticsearch/elastic-certificates.p12
[root@server1 elasticsearch]# systemctl  restart elasticsearch.service

拷贝证书到其它集群节点
[root@server1 elasticsearch]# scp elastic-certificates.p12 server2:/etc/elasticsearch/
[root@server1 elasticsearch]# scp elastic-certificates.p12 server3:/etc/elasticsearch/

server2配置
[root@server2 ~]# chown elasticsearch /etc/elasticsearch/elastic-certificates.p12
[root@server2 ~]# vim /etc/elasticsearch/elasticsearch.yml
...
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: /etc/elasticsearch/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: /etc/elasticsearch/elastic-certificates.p12

[root@server2 ~]# systemctl  restart elasticsearch.service

在server3上执行相同操作

等待所有集群节点重启成功后，设置认证账户密码
[root@server1 elasticsearch]# cd /usr/share/elasticsearch/
[root@server1 elasticsearch]# bin/elasticsearch-setup-passwords interactive
交互式输入密码

首先使用内部检测，然后进入设置模式

选择启动metricbeat的节点，然后根据提示步骤操作
安装软件
[root@server1 ~]# rpm -ivh metricbeat-7.6.1-x86_64.rpm
[root@server1 ~]# cd /etc/metricbeat/modules.d
[root@server1 modules.d]# metricbeat modules enable elasticsearch-xpack
[root@server1 modules.d]# vim elasticsearch-xpack.yml
hosts: ["http://localhost:9200"]
username: "elastic"
password: "001003"
xpack.enabled: true
[root@server1 modules.d]# cd ..
[root@server1 metricbeat]# vim metricbeat.yml
...
output.elasticsearch:
hosts: ["http://192.168.223.170:9200"]
username: "elastic"
password: "001003"
[root@server1 metricbeat]# systemctl enable --now metricbeat.service

其他节点以此类推，设置完成后退出设置模式