（转载）史上最全ELK入门解析

柔光的暖阳◎ 2021-12-14 05:59 304阅读 1赞

转载：https://blog.csdn.net/qiu18356979353/article/details/84476724

1.  **前言**

日志，对于任何系统来说都是及其重要的组成部分。在计算机系统里面，更是如此。但是由于现在的计算机系统大多比较复杂，很多系统都不是在一个地方，甚至都是跨国界的；即使是在一个地方的系统，也有不同的来源，比如，操作系统，应用服务，业务逻辑等等。他们都在不停产生各种各样的日志数据。根据不完全统计，我们全球每天大约要产生2EB的数据。1EB=1024PB 1PB=1024TB

面对如此海量的数据，又是分布在各个不同地方，如果我们需要去查找一些重要的信息，难道还是使用传统的方法，去登陆到一台台机器上查看？看来传统的工具和方法已经显得非常笨拙和低效了。于是，一些聪明人就提出了建立一套集中式的方法，把不同来源的数据集中整合到一个地方。

一个完整的集中式日志系统，是离不开以下几个主要特点的:

*  收集－能够采集多种来源的日志数据
 *  传输－能够稳定的把日志数据传输到中央系统
 *  存储－如何存储日志数据
 *  分析－可以支持 UI 分析
 *  警告－能够提供错误报告，监控机制

开源实时日志分析ELK平台能够完美的解决我们上述的问题，ELK由ElasticSearch、Logstash和Kibana三个开源工具组成。

ElasticSearch：是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。

Logstash： 是一个完全开源的工具，他可以对你的日志进行收集、分析，并将其存储供以后使用。

Kibana：也是一个开源和免费的工具，Kibana可以为 Logstash

和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助汇总、分析和搜索重要数据日志。

ELK 其实并不是一款软件，而是一整套解决方案，是三个软件产品的首字母缩写，Elasticsearch，Logstash 和 Kibana。这三款软件都是开源软件，通常是配合使用，而且又先后归于 Elastic.co 公司名下，故被简称为ELK协议栈。

在需要收集日志的所有服务上部署logstash，Logstash收集AppServer产生的Log，将日志收集在一起交给全文搜索服务ElasticSearch，而Kibana则从ES集群中查询数据生成图表，再返回给客户端Browser。

### **3.1、什么是ElasticSearch ES** ###

ElasticSearch是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java开发的，并作为Apache许可条款下的开放源码发布，是当前流行的企业级搜索引擎。设计用于[云计算][Link 1]中，能够达到实时搜索，稳定，可靠，快速，安装使用方便。

Elasticsearch是一个实时分布式搜索和分析引擎。与数据库对比来说：现在大部分数据库在提取可用知识方面显得异常无能。的确，它们能够通过时间戳或者精确匹配做过滤查询，但是它们不能够进行全文搜索，不能处理同义词，以及根据相关性给文档打分。而Elasticsearch能根据同一份数据生成分析和聚合的结果，最重要的是，它们在没有大量工作进程（线程）的情况下能做到对数据的实时处理。

### **3.2、ElasticSearch的主要应用场景** ###

互联网的时代，建立一个网站或应用程序，要添加搜索功能，实现站内搜索和站外搜索，但是想要完成搜索工作并保证运行的功能和性能是非常困难的。我们希望搜索解决方案要运行速度快，我们希望能有一个零配置和一个完全免费的搜索模式，我们希望能够简单地使用JSON通过HTTP来索引数据，我们希望我们的搜索服务器始终可用，我们希望能够从一台开始并扩展到数百台应用，我们要实时搜索，我们要简单的多租户，我们希望建立一个云的解决方案。因此我们利用Elasticsearch来解决所有这些问题以及可能出现的更多其它问题。

### **3.3、ElasticSearch的安装部署入门** ###

参考文档

ELK官网：[https://www.elastic.co/][https_www.elastic.co]

ELK官网文档：[https://www.elastic.co/guide/index.html][https_www.elastic.co_guide_index.html]

ELK中文手册：[https://www.elastic.co/guide/cn/elasticsearch/guide/current/index.html][https_www.elastic.co_guide_cn_elasticsearch_guide_current_index.html]

ELK中文社区：[https://elasticsearch.cn/][https_elasticsearch.cn]

ELK-API :[https://www.elastic.co/guide/en/elasticsearch/client/java-api/current/transport-client.html][https_www.elastic.co_guide_en_elasticsearch_client_java-api_current_transport-client.html]

进入到es安装目录下的config文件夹中，修改elasticsearch.yml 文件

扩展：

YML文件格式是YAML (YAML Aint Markup Language)编写的文件格式，YAML是一种直观的能够被电脑识别的的数据数据序列化格式，并且容易被人类阅读，容易和[脚本语言][Link 2]交互的。

它的基本语法规则如下。

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> 
 <ul> 
 <li>大小写敏感</li> 
 <li>使用缩进表示层级关系</li> 
 <li>缩进时不允许使用Tab键，只允许使用空格。</li> 
 <li>缩进的空格数目不重要，只要相同层级的元素左侧对齐即可</li> 
 </ul># 表示注释，从这个字符一直到行尾，都会被解析器忽略 &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

修改的主要内容：

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> #配置es的集群名称，默认是elasticsearch，es会自动发现在同一网段下的es，如果在同一网段下有多个集群，就可以用这个属性来区分不同的集群。 cluster.name: my-es #节点名称 node.name: node1 #设置索引数据的存储路径 path.data: /export/servers/data #设置日志的存储路径 path.logs: /export/servers/logs #设置当前的ip地址,通过指定相同网段的其他节点会加入该集群中 network.host: 192.168.200.100 #设置对外服务的http端口 http.port: 9200 #设置集群中master节点的初始列表，可以通过这些节点来自动发现新加入集群的节点 discovery.zen.ping.unicast.hosts: ["node1"] </td> 
 </tr> 
 </tbody> 
</table>

### **3.4、解决启动时报错** ###

(1)、在root用户下启动时报错

因为安全问题elasticsearch 不让用root用户直接运行，所以要创建新用户。

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> 具体操作如下： useradd es -m passwd es chown -R es:es /export/servers/elasticsearch </td> 
 </tr> 
 </tbody> 
</table>

然后使用es用户启动

切换es用户命令：su es

启动集群命令：bin/elasticsearch

(2)、在es用户下启动时报错

原因：Centos6不支持SecComp，而ES默认bootstrap.system\_call\_filter为true进行检测，所以导致检测失败，失败后直接导致ES不能启动。

详见 ：[https://github.com/elastic/elasticsearch/issues/22899][https_github.com_elastic_elasticsearch_issues_22899]

解决方案：

在elasticsearch.yml中新增配置bootstrap.system\_call\_filter，设为false。

bootstrap.system\_call\_filter: false

(3)、在es用户下启动继续报错

第一个问题的原因：

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> 原因：无法创建本地文件问题,用户最大可创建文件数太小 解决方案：切换到root用户，编辑limits.conf配置文件， 添加类似如下内容： vi /etc/security/limits.conf 添加如下内容: 注意*不要去掉了 * soft nofile 65536 * hard nofile 131072 备注：* 代表Linux所有用户名称（比如 hadoop） 需要保存、退出、重新登录才可生效。 </td> 
 </tr> 
 </tbody> 
</table>

第二个错误的原因：

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> 原因：无法创建本地线程问题,用户最大可创建线程数太小 解决方案：切换到root用户，进入limits.d目录下，修改90-nproc.conf 配置文件。 vi /etc/security/limits.d/90-nproc.conf 找到如下内容： * soft nproc 1024 #修改为 * soft nproc 4096 </td> 
 </tr> 
 </tbody> 
</table>

第三个错误的原因：

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> 原因：最大虚拟内存太小 每次启动机器都手动执行下。 root用户执行命令： 执行命令：sysctl -w vm.max_map_count=262144 查看修改结果命令：sysctl -a|grep vm.max_map_count 看是否已经修改 &nbsp; 永久性修改策略： echo "vm.max_map_count=262144" &gt;&gt; /etc/sysctl.conf </td> 
 </tr> 
 </tbody> 
</table>

### **3.5、ES基础概念** ###

Elasticsearch有几个核心概念。从一开始理解这些概念会对整个学习过程有莫大的帮助。  
接近实时（NRT）  
Elasticsearch是一个接近实时的搜索平台。这意味着，从索引一个文档直到这个文档能够被搜索到有一个轻微的延迟（通常是1秒）。  
集群（cluster）  
一个集群就是由一个或多个节点组织在一起，它们共同持有你整个的数据，并一起提供索引和搜索功能。一个集群由一个唯一的名字标识，这个名字默认就是 “elasticsearch”。这个名字是重要的，因为一个节点只能通过指定某个集群的名字，来加入这个集群。在产品环境中显式地设定这个名字是一个好习惯，但是使用默认值来进行测试/开发也是不错的。  
节点（node）  
一个节点是你集群中的一个服务器，作为集群的一部分，它存储你的数据，参与集群的索引和搜索功能。和集群类似，一个节点也是由一个名字来标识的，默认情况下，这个名字是一个随机的漫威漫画角色的名字，这个名字会在启动的时候赋予节点。这个名字对于管理工作来说挺重要的，因为在这个管理过程中，你会去确定网络中的哪些服务器对应于Elasticsearch集群中的哪些节点。  
一个节点可以通过配置集群名称的方式来加入一个指定的集群。默认情况下，每个节点都会被安排加入到一个叫做“elasticsearch”的集群中，这意味着，如果你在你的网络中启动了若干个节点，并假定它们能够相互发现彼此，它们将会自动地形成并加入到一个叫做“elasticsearch”的集群中。  
在一个集群里，只要你想，可以拥有任意多个节点。而且，如果当前你的网络中没有运行任何Elasticsearch节点，这时启动一个节点，会默认创建并加入一个叫做“elasticsearch”的集群。  
索引（index）   
一个索引就是一个拥有几分相似特征的文档的集合。比如说，你可以有一个客户数据的索引，另一个产品目录的索引，还有一个订单数据的索引。一个索引由一个名字来标识（必须全部是小写字母的），并且当我们要对对应于这个索引中的文档进行索引、搜索、更新和删除的时候，都要使用到这个名字。在一个集群中，如果你想，可以定义任意多的索引。  
类型（type）  
在一个索引中，你可以定义一种或多种类型。一个类型是你的索引的一个逻辑上的分类/分区，其语义完全由你来定。通常，会为具有一组共同字段的文档定义一个类型。比如说，我们假设你运营一个博客平台并且将你所有的数据存储到一个索引中。在这个索引中，你可以为用户数据定义一个类型，为博客数据定义另一个类型，当然，也可以为评论数据定义另一个类型。  
文档（document）  
一个文档是一个可被索引的基础信息单元。比如，你可以拥有某一个客户的文档，某一个产品的一个文档，当然，也可以拥有某个订单的一个文档。文档以 JSON（Javascript Object Notation）格式来表示，而JSON是一个到处存在的互联网数据交互格式。  
在一个index/type里面，只要你想，你可以存储任意多的文档。注意，尽管一个文档，物理上存在于一个索引之中，文档必须被索引/赋予一个索引的type。  
分片和复制（shards & replicas）  
一个索引可以存储超出单个结点硬件限制的大量数据。比如，一个具有10亿文档的索引占据1TB的磁盘空间，而任一节点都没有这样大的磁盘空间；或者单个节点处理搜索请求，响应太慢。  
为了解决这个问题，Elasticsearch提供了将索引划分成多份的能力，这些份就叫做分片。当你创建一个索引的时候，你可以指定你想要的分片的数量。每个分片本身也是一个功能完善并且独立的“索引”，这个“索引”可以被放置到集群中的任何节点上。  
 分片之所以重要，主要有两方面的原因：  
\- 允许你水平分割/扩展你的内容容量  
\- 允许你在分片（潜在地，位于多个节点上）之上进行分布式的、并行的操作，进而提高性能/吞吐量  
至于一个分片怎样分布，它的文档怎样聚合回搜索请求，是完全由Elasticsearch管理的，对于作为用户的你来说，这些都是透明的。

默认一个索引有5个分片，每个分片都1个副本。

### **3.6、访问ES** ###

在Google Chrome浏览器中，访问以下地址：[http://node1:9200?pretty][http_node1_9200_pretty]

注意：在任意的查询字符串中增加pretty参数，会让Elasticsearch美化输出(pretty-print)JSON响应以便更加容易阅读。

## **4、[Kibana 基础入门][Kibana]** ##

### **4.1 什么是kibana** ###

Kibana 是一个开源的分析和可视化平台，旨在与 Elasticsearch 合作。Kibana 提供搜索、查看和与存储在 Elasticsearch 索引中的数据进行交互的功能。开发者或运维人员可以轻松地执行高级数据分析，并在各种图表、表格和地图中可视化数据。

### **4.2 kibana安装部署** ###

下载安装包

访问elasticSearch官网地址 [https://www.elastic.co/][https_www.elastic.co]

进入到kibana安装目录下的config文件夹中，修改kibana.yml 文件

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> server.host: "node1" elasticsearch.url: "http://node1:9200" chown -R es:es /export/servers/kibana </td> 
 </tr> 
 </tbody> 
</table>

后台运行：

nohup /export/servers/kibana/bin/kibana >/dev/null 2>&1 &

ps -ef|grep kibana 查看kibana进程

访问kibana界面

[http://node1:5601][http_node1_5601]

具体操作可参照：

https://blog.csdn.net/ming\_311/article/details/50619859

批量加载数据方式：

curl -XPOST 'http://node4:9200/bank/account/\_bulk?pretty' --data-binary @accounts.json

添加参数：

url -XPOST 'node3:9200/bank100/account/\_bulk?pretty' --data-binary @accounts.json -H 'Content-Type:application/json'

## **5、[Logstash基础入门][Kibana]** ##

### **5.1 什么是Logstash** ###

Logstash 是一个开源的数据收集引擎，它具有备实时数据传输能力。它可以统一过滤来自不同源的数据，并按照开发者的制定的规范输出到目的地。

顾名思义，Logstash 收集数据对象就是日志文件。由于日志文件来源多（如：系统日志、服务器日志等），且内容杂乱，不便于人类进行观察。因此，我们可以使用 Logstash 对日志文件进行收集和统一过滤，变成可读性高的内容，方便开发者或运维人员观察，从而有效的分析系统/项目运行的性能，做好监控和预警的准备工作等。

### **5.2 Logstash的组成结构** ###

Logstash 通过管道进行运作，管道有两个必需的元素，输入（input）和输出(output)，还有一个可选的元素-过滤器(filter)。输入插件从数据源获取数据，过滤器插件根据用户指定的数据格式修改数据，输出插件则将数据写入到目的地。如下图：

### **5.3 Logstash安装部署** ###

下载安装包

访问elasticSearch官网地址 [https://www.elastic.co/][https_www.elastic.co]

### **5.4 logstash入门案例** ###

Logstash 提供了一个 shell 脚本叫 logstash 方便快速运行，-e意指执行

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> bin/logstash -e'input { stdin { } } output { stdout {} }' </td> 
 </tr> 
 </tbody> 
</table>

Hello World（输入）经过 Logstash 管道（过滤）变成：

2018-03-16T13:14:19.342Z node2 Hello World （输出）。

### **5.5 Logstash的插件介绍**  ###

在生产环境中，Logstash 的管道要复杂很多，可能需要配置多个输入、过滤器和输出插件。因此，需要一个配置文件管理输入、过滤器和输出相关的配置。配置文件内容格式如下：

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> #　输入 input { ... } # 过滤器 filter { ... } # 输出 output { ... } </td> 
 </tr> 
 </tbody> 
</table>

根据自己的需求在对应的位置配置[输入插件][Link 3]、[过滤器插件][Link 4]、[输出插件][Link 5]和[编码解码插件][Link 6]即可。

在使用插件之前，我们先了解一个概念：事件。Logstash 每读取一次数据的行为叫做事件。在 Logstach 目录中创建一个配置文件，名为 logstash.conf（名字任意）。

**5.5.1 输入插件**

输入插件允许一个特定的事件源可以读取到 Logstash 管道中，配置在 input \{\} 中，且可以设置多个。

修改配置文件：vi demo1.conf

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> input { # 从文件读取日志信息 file { # 文件路径 path =&gt; "/root/access.log" start_position =&gt; "beginning" } } # filter { # # } output { # 标准输出 stdout { codec =&gt; rubydebug } } </td> 
 </tr> 
 </tbody> 
</table>

执行：bin/logstash -f config/demo1.conf

Codec 是 logstash 从 1.3.0 版开始新引入的概念(Codec 来自 Coder/decoder 两个单词的首字母缩写)。

在此之前，logstash 只支持纯文本形式输入，然后以过滤器处理它。

但现在，我们可以在输入 期处理不同类型的数据，这全是因为有了 codec 设置。所以，这里需要纠正之前的一个概念。Logstash 不只是一个 input | filter | output 的数据流，而是一个 input | decode |filter | encode | output 的数据流！codec 就是用来 decode、encode 事件的。codec 的引入，使得 logstash 可以更好更方便的与其他有自定义数据格式的运维产品共存，。事实上，我们在第一个 "hello world" 用例中就已经用过 codec 了 —— rubydebug 就是一种 codec！虽然它一般只会用在stdout 插件中，作为配置测试或者调试的工具。

**5.5.2 数据写入到ES中**

编写配置文件：vi data2es.conf

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> input { file { #指定类型 type =&gt; "game" #监控的文件路径 path =&gt; "/root/log.json" #每隔多久去检查一次被监听的文件是否有新增的内容 discover_interval =&gt; 5 #start_position可以设置为beginning或者end，beginning表示从头开始读取文件，end表示读取最新的 start_position =&gt; "beginning" } } output { #数据写入到es中 elasticsearch { #定义数据写入到es中的哪个索引中 index =&gt; "game-%{+YYYY.MM.dd}" #定义es集群地址 hosts =&gt; ["192.168.200.100:9200"] } } &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

执行：bin/logstash -f config/data2es.conf

**5.5.3 数据写入到kafka中**

编写配置文件data2kafka.conf

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> input { file { #监控的文件路径 path =&gt; "/root/access.log" #start_position可以设置为beginning或者end，beginning表示从头开始读取文件，end表示读取最新的 start_position =&gt; "beginning" #sincedb_path表示文件读取进度的记录 sincedb_path =&gt; "/export/servers/logstash/config/index" } } output { kafka { #topic的名称 topic_id =&gt; "accesslog" #kafka集群地址 bootstrap_servers =&gt; ["node1:9092,node2:9092,node3:9092"] } } </td> 
 </tr> 
 </tbody> 
</table>

执行：bin/logstash -f config/data2kafka.conf

**5.5.4 读取kafka中topic数据**

(1) 启动zookeeper kafka集群

(2) 创建主题:

kafka-topics.sh --zookeeper node1:2181 --create --topic hello --replication-factor 1 --partitions 3

1.  执行生产者脚本:

kafka-console-producer.sh --broker-list node1:9092 --topic hello

执行消费者脚本，查看是否写入:

kafka-console\-consumer.sh --zookeeper node1:2181 --from\-beginning --topic hello

1.  编写logstash配置文件 readDataFromKafka.conf

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> input{ kafka { #codec的默认值为plain，表示一个空的解析器，codec可以让用户自己指定格式 codec =&gt; "plain" #消费者组id group_id =&gt; "logstash1" #消费者消费的策略 #earliest--从提交的offset开始消费；无提交的offset时，从头开始消费 #latest--从提交的offset开始消费；无提交的offset时，消费新产生的该分区下的数据 #none--从offset后开始消费；只要有一个分区不存在已提交的offset，则抛出异常 auto_offset_reset =&gt; "earliest" #topic的名称 topics =&gt; ["accesslog"] #kafka集群地址 bootstrap_servers =&gt; ["node1:9092,node2:9092,node3:9092"] } &nbsp; } output{ stdout{ # 采用Ruby库来解析日志,直接输出在控制台 codec =&gt; rubydebug } } </td> 
 </tr> 
 </tbody> 
</table>

执行：bin/logstash -f config/readDataFromKafka.conf

**5.5.5 数据写入到HDFS上**

编写配置文件信息 vi data2hdfs.conf

<table style="width:442.8pt;"> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:442.8pt;"> input { file{ #正则表达式匹配/root目录下所有的以.log结尾的文件 path =&gt;"/root/data/*.log" #多久检查该目录下是否有新的文件生成 discover_interval =&gt; 5 #Logstash开始读取文件的位置：开头或结尾 start_position =&gt; "beginning" #sincedb_path表示文件读取进度的记录 sincedb_path =&gt; "/export/servers/logstash/config/index" } } output { #指定数据保存在hdfs上 webhdfs { #namenode的所在的主机名 host =&gt; "node1" #hdfs web端口 port =&gt; 50070 #保存的路径 path =&gt; "/logstash/dt=%{+YYYY-MM-dd}/logstash-%{+HH}.log" #用户名 user =&gt; "root" } } &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

执行：bin/logstash -f config/data2hdfs.conf

其他丰富插件使用说明：

http://blog.csdn.net/iguyue/article/details/77006201

**声明：**

转载只用于本人学习使用，绝无商业用途，如有异议，请联系删除，谢谢。

转载于:https://www.cnblogs.com/album/articles/11111309.html

[Link 1]: http://baike.baidu.com/item/%E4%BA%91%E8%AE%A1%E7%AE%97
[https_www.elastic.co]: https://www.elastic.co/
[https_www.elastic.co_guide_index.html]: https://www.elastic.co/guide/index.html
[https_www.elastic.co_guide_cn_elasticsearch_guide_current_index.html]: https://www.elastic.co/guide/cn/elasticsearch/guide/current/index.html
[https_elasticsearch.cn]: https://elasticsearch.cn/
[https_www.elastic.co_guide_en_elasticsearch_client_java-api_current_transport-client.html]: https://www.elastic.co/guide/en/elasticsearch/client/java-api/current/transport-client.html
[Link 2]: https://www.baidu.com/s?wd=%E8%84%9A%E6%9C%AC%E8%AF%AD%E8%A8%80&tn=44039180_cpr&fenlei=mv6quAkxTZn0IZRqIHckPjm4nH00T1dWnHnvPWKBPyDvm1-bPvnd0ZwV5Hcvrjm3rH6sPfKWUMw85HfYnjn4nH6sgvPsT6KdThsqpZwYTjCEQLGCpyw9Uz4Bmy-bIi4WUvYETgN-TLwGUv3EnWfkPHD3PjDL
[https_github.com_elastic_elasticsearch_issues_22899]: https://github.com/elastic/elasticsearch/issues/22899
[http_node1_9200_pretty]: http://node1:9200?pretty
[Kibana]: http://www.cnblogs.com/moonlightL/p/7764919.html
[http_node1_5601]: http://node1:5601
[Link 3]: https://www.elastic.co/guide/en/logstash/current/input-plugins.html
[Link 4]: https://www.elastic.co/guide/en/logstash/current/filter-plugins.html
[Link 5]: https://www.elastic.co/guide/en/logstash/current/output-plugins.html
[Link 6]: https://www.elastic.co/guide/en/logstash/current/codec-plugins.html