Linux下ELK部署小白随记

三木尧

一、先搞懂：这堆东西是干嘛的？

• Elasticsearch：核心存储 + 搜索引擎，存数据、查数据全靠它
• Kibana：可视化界面，看图表、做报表、查日志
• Logstash：数据加工管道，清洗、转换数据
• Beats：轻量采集器，专门收日志、指标
• Fleet/Elastic Agent：统一管理采集器，不用挨个配
  

---

二、第一步：装核心（Elasticsearch + Kibana）

• 准备环境
  
  • 系统：Linux/macOS/Windows 都行
  • 内存：至少 4GB，不然会卡
  • 版本：统一用 8.19，避免兼容问题
    
• 安装 Elasticsearch（存数据的大脑）
  
  • 去官网下 8.19 安装包 / 用仓库安装
  • 改配置：config/jvm.options 调内存（建议 2GB 起）
  • 启动服务
  • 访问 https://localhost:9200 验证，出现版本信息就对了
    
• 安装 Kibana（可视化界面）
  
  • 同样下 8.19 版本
  • 改配置：指向你的 Elasticsearch 地址
  • 启动服务
  • 访问 http://localhost:5601，看到登录页就成功
    
  
  
  

---

三、第二步：装数据采集工具（Beats / Elastic Agent）


方案 A：简单快 → 用 Beats

• 收日志：装 Filebeat
• 收指标：装 Metricbeat
• 收网络数据：装 Packetbeat
  步骤都一样：
  

• 下载对应 Beats 8.19
• 改配置：指向 Elasticsearch/Kibana
• 启动
• 去 Kibana 看数据进来没
  

方案 B：统一管理 → 用 Fleet + Elastic Agent

• Kibana 打开 Fleet 菜单
• 添加策略、生成安装命令
• 在目标机器跑命令，自动连上平台
• 一键开日志 / 指标 / 安全采集，不用改配置文件
  

---

四、第三步：数据加工（可选，Logstash）


需要清洗、过滤、转换数据时用：

• 安装 Logstash 8.19
• 写 .conf 配置：输入→过滤→输出
• 启动并对接 Elasticsearch
  适合：多行日志合并、字段拆分、脱敏、格式转换
  

---

五、第四步：在 Kibana 看数据、做报表

• 进入 Kibana → Discover：查日志、搜字段
• 进入 Dashboard：拖图表做大盘
• 进入 Observability：看应用监控、链路追踪
• 进入 Security：做安全分析、告警
  

---

六、第五步：部署方式（按场景选）

• 自己服务器：选 Self managed 手动安装
• 上云：用 Elastic Cloud 一键开通
• K8s 环境：用 Elastic Cloud on Kubernetes（ECK）
• 私有云：用 Elastic Cloud Enterprise
  

---

七、快速排错小技巧

• Kibana 连不上 Elasticsearch：检查地址、端口、证书、账号密码
• 数据没进来：看 Beats/Agent 日志、防火墙、权限
• 内存不够：调大 JVM 内存、关闭不必要插件
  

---

八、最简上手流程（记这个就够）

• 装 Elasticsearch → 启动验证
• 装 Kibana → 连上 ES
• 装 Filebeat/Metricbeat → 收数据
• 打开 Kibana → 看数据、做图表
• （进阶）加 Logstash 清洗、用 Fleet 统一管理