转自

elk系列3之通过json格式采集Nginx日志 - 温柔易淡 - 博客园
http://www.cnblogs.com/liaojiafa/p/6158245.html

preface

公司采用的LNMP平台,跑着挺多nginx,所以可以利用elk好好分析nginx的日志。下面就聊聊它吧。

下面的所有操作都在linux-node2上操作

安装Nginx

nginx是开始,所以你得安装一个Nginx,安装方法采用yum安装,yum源:http://mirrors.aliyun.com/epel/epel-release-latest-6.noarch.rpm
下面的所有操作都在linux-node2上操作

[root@linux-node2 ~]# rpm -vhi http://mirrors.aliyun.com/epel/epel-release-latest-6.noarch.rpm
[root@linux-node2 ~]# yum -y install nginx

安装完以后,我们进行通过ab访问,以此来产生日志:

[root@linux-node2 nginx]# ab -n 1000 -c 20 http://192.168.141.4/
[root@linux-node2 nginx]# cd /var/log/nginx/
[root@linux-node2 nginx]# cat access.log

学习json模块

我们在官网上学习json模块: https://www.elastic.co/guide/en/logstash/2.3/plugins-codecs-json.html

获取Nginx的日志方式

  1. Nginx日志改成json输出。
  2. 直接获取nginx的访问日志,放入redis里面。
  3. Python脚本读取redis,写成json,写入ES。

我们这次主要是讲第一种方式:Nginx日志改成json输出。

配置nginx

我们需要更改nginx的配置文件,在http模块下面,添加一个log_format字段即可,配置文件如下:

http {
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
log_format access_log_json '{"user_ip":"$http_x_real_ip","lan_ip":"$remote_addr","log_time":"$time_iso8601","user_req":"$request","http_code":"$status","body_bytes_sents":"$body_bytes_sent","req_time":"$request_time","user_ua":"$http_user_agent"}'; # 这行是新添加的,指定为json格式,键值对的格式 access_log /var/log/nginx/access.log access_log_json; # 使用刚才定义的日志格式

确认无误后,重启服务:

[root@linux-node2 nginx]# service  nginx reload
配置logstash

确定nginx正常工作 ,那么我们就开始配置logstash,对于logstash,我们应该在output上面首先配置一个屏幕输出,在确认屏幕输出没有问题后,我们在把output输入到elasticsearch上。

[root@linux-node2 ~]# cat /etc/logstash/conf.d/nginx.conf
input{
file {
path => "/var/log/nginx/access.log"
codec => "json"
}
}
filter{
}
output{
stdout{
codec => rubydebug
}
}

确认无误后,启动logstash

[root@linux-node2 ~]# /opt/logstash/bin/logstash -f /etc/logstash/conf.d/nginx.conf

此时我们通过再打开一个终端,通过ab来发起5个请求,来看看logstash的输出是否有误:

[root@linux-node2 nginx]# ab -n 4 -c 1 http://192.168.141.4/

我们切回到启动logstash的终端,然后看看输出。

{
"user_ip" => "-",
"lan_ip" => "192.168.141.4",
"log_time" => "2016-12-10T16:04:46+08:00",
"user_req" => "GET / HTTP/1.0",
"http_code" => "200",
"body_bytes_sents" => "3698",
"req_time" => "0.000",
"user_ua" => "ApacheBench/2.3",
"@version" => "1",
"@timestamp" => "2016-12-10T08:04:47.705Z",
"path" => "/var/log/nginx/access.log",
"host" => "linux-node2"
}

显然,目前logstash是工作没有问题的,那么就可以把ouput配置到elasticsearch上了,下面更改下配置logstash的文件

[root@linux-node2 nginx]# cat /etc/logstash/conf.d/nginx.conf
input{
file {
path => "/var/log/nginx/access.log"
codec => "json"
type => "nginx-access-log"
}
}
filter{
}
output{
elasticsearch {
hosts => ["192.168.141.3:9200"]
index => "nginx-access-log-%{+YYYY.MM.dd}"
}
}

确定没有问题后,重新启动logstash

[root@linux-node2 logstash]# /opt/logstash/bin/logstash -f /etc/logstash/conf.d/nginx.conf

Notice
如果logstash启动后,我们访问192.168.141.3上的head模块,找不到nginx-access-log的话,那么就删除sincedb,删除以后,重新启动logstash就能访问到了。是因为我们刚才使用logstash的时候,通过rubydebug进行了stdout,导致sincedb文件记录了相关的信息,删除sincedb文件后让elasticsearch重新记录即可。

[root@linux-node2 logstash]# rm -f /var/lib/logstash/.sincedb_d883144359d3b4f516b37dba51fab2a2
/root/.sincedb_ssdafdsafsfasdf

kibana上配置。

我们可以访问http://192.168.141.3:9200/_plugin/head/,可以看到nginx-access-log,如下图所示

到了这里,我想你就明白为啥我们要把nginx的日志配制成json数据格式,没错,就是为了方便我们在head和kibana里面处理。
下面在kibana里添加的时候,我们在Time-field 字段选择的log_time,这样以nginx的log_time字段作为时间戳。

好了到此,简单的nginx日志收集到此结束。

elk系列3之通过json格式采集Nginx日志【转】的更多相关文章

  1. elk系列3之通过json格式采集Nginx日志

    preface 公司采用的LNMP平台,跑着挺多nginx,所以可以利用elk好好分析nginx的日志.下面就聊聊它吧. 下面的所有操作都在linux-node2上操作 安装Nginx nginx是开 ...

  2. [日志分析]Graylog2采集Nginx日志 被动方式

    graylog可以通过两种方式采集nginx日志,一种是通过Graylog Collector Sidecar进行采集(主动方式),另外是通过修改nginx配置文件的方式进行收集(被动方式). 这次说 ...

  3. Centos7 搭建 Flume 采集 Nginx 日志

    版本信息 CentOS: Linux localhost.localdomain 3.10.0-862.el7.x86_64 #1 SMP Fri Apr 20 16:44:24 UTC 2018 x ...

  4. [日志分析]Graylog2采集Nginx日志 主动方式

    这次聊一下Graylog如何主动采集Nginx日志,分成两部分: 介绍一下 Graylog Collector Sidecar 是什么 如何配置 Graylog Collector Sidecar 采 ...

  5. ELK 之三:Kibana 使用与Tomcat、Nginx 日志格式处理

    一:kibana安装: kibana主要是搜索elasticsearch的数据,并进行数据可视化的展现,新版使用nodejs. 1.下载地址: https://www.elastic.co/downl ...

  6. 通过filebeat、logstash、rsyslog采集nginx日志的几种方式

    由于nginx功能强大,性能突出,越来越多的web应用采用nginx作为http和反向代理的web服务器.而nginx的访问日志不管是做用户行为分析还是安全分析都是非常重要的数据源之一.如何有效便捷的 ...

  7. Flume采集Nginx日志到HDFS

    下载apache-flume-1.7.0-bin.tar.gz,用 tar -zxvf 解压,在/etc/profile文件中增加设置: export FLUME_HOME=/opt/apache-f ...

  8. ELK学习实验014:Nginx日志JSON格式收集

    1 Kibana的显示配置 https://demo.elastic.co/app/kibana#/dashboard/welcome_dashboard 环境先处理干净 安装nginx和httpd- ...

  9. nginx日志输出配置json格式

    修改nginx配置文件 http { include mime.types; default_type application/octet-stream; charset utf-8; # 原有日志格 ...

随机推荐

  1. SWERC2015-I Text Processor

    题意 给一个长度为\(n\)的字符串\(s\),再给定一个\(w\),问对于所有的\(i\in [1,n-w+1]\),\(s[i..i+w-1]\)有多少个不同字串.\(n,w\le 10^5\). ...

  2. bzoj1007-水平可见直线

    题目 在平面直角坐标系上以\(y=kx+b\)的形式给出\(n (n\le 50000)\)条直线,求从无限高的地方能看到多少条直线. 分析 举几个例子发现我们要求的直线组成一个下凸的形状.所以我们只 ...

  3. bzoj5090[lydsy11月赛]组题

    裸的01分数规划,二分答案,没了. #include<cstdio> #include<algorithm> using namespace std; const int ma ...

  4. Linux学习笔记一:Linux配置java环境变量

    一.安装JDK: 1.创建JDK的安装目录: sudo mkdir /usr/jdk 2.将jdk-7u25-linux-x64.tar.gz拷贝至/usr/jdk目录下 sudo cp jdk-7u ...

  5. 洛谷P4609 [FJOI2016]建筑师 【第一类斯特林数】

    题目链接 洛谷P4609 题解 感性理解一下: 一神带\(n\)坑 所以我们只需将除了\(n\)外的\(n - 1\)个元素分成\(A + B - 2\)个集合,每个集合选出最大的在一端,剩余进行排列 ...

  6. 框架----Django框架知识点整理

    一.cbv cbv(class-base-view) 基于类的视图 fbv(func-base-view) 基于函数的视图 a.基本演示 urlpatterns = [ url(r'^login.ht ...

  7. 初识python版本

    区别一: python2x:源码重复不规范. python3x:重新整理规范了源码. 区别二: python2x: 默认的编码方式ascii,显示中文需要首行添加:#  _*_ encoding: u ...

  8. 修改Tomcat端口

    1.自己的tomcat修改端口号,在tomcat解压缩目录中conf目录下又一个server.xml,将HTTP协议的端口修改为自己想要的即可 <Connector port="808 ...

  9. python---基础知识回顾(四)(模块sys,os,random,hashlib,re,序列化json和pickle,xml,shutil,configparser,logging,datetime和time,其他)

    前提:dir,__all__,help,__doc__,__file__ dir:可以用来查看模块中的所有特性(函数,类,变量等) >>> import copy >>& ...

  10. mysql \G

    mysql 命令区分大小写.ego       (\G) Send command to mysql server, display result vertically. go        (\g) ...