LINUX搭建ELK（6.4.0）日志分析系统----Elasticsearch篇

JDK环境

Elasticsearch是基于Java的，需要安装最新的JDK 1.8
查看环境命令

java -version

安装Elasticsearch 6.4.0

下载链接
https://www.elastic.co/downloads/elasticsearch
解压命令

tar -xzvf elasticsearch-6.4.0.tar.gz
#修改解压后config目录下elasticsearch.yml
vim elasticsearch.yml
network.host: 0.0.0.0
http.port:9200

如果用root用户直接启动会报错，所以需要创建一个启动用户

#创建启动用户和群组
groupadd elsearch 
useradd elsearch -g elsearch -p elsearch
#切换用户
su elsearch
#进入es的bin目录，执行启动命令
./elasticsearch

启动一般会出现4个异常问题

[4] bootstrap checks failed
[1]: max file descriptors [4096] for elasticsearch process is too low, increase to at least [65536]
[2]: max number of threads [2048] for user [elk] is too low, increase to at least [4096]
[3]: max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]
[4]: system call filters failed to install; check the logs and fix your configuration or disable system call filters at your own risk

问题【1】
原因：无法创建本地文件问题,用户最大可创建文件数太小
解决方案：
切换到root用户，编辑limits.conf配置文件， 添加类似如下内容：

vi /etc/security/limits.conf

#新增如下内容：
elsearch         soft    nofile          819200
elsearch         hard    nofile          819200

elsearch是操作的用户名
问题【2】
解决方案：
切换到root用户，编辑90-nproc.conf配置文件， 添加类似如下内容：

vi /etc/security/limits.d/90-nproc.conf 

#修改如下内容：
* soft nproc 1024
#修改为
* soft nproc 4096

问题【3】
解决方案：
切换到root用户，编辑sysctl.conf配置文件， 添加类似如下内容：

vi /etc/sysctl.conf
#添加下面配置：
vm.max_map_count=655360
#保存后执行命令：
sysctl -p

问题【3】
解决方案：
修改elsearch解压文件夹下的elasticsearch.yml：

#新增配置
bootstrap.memory_lock: false 
bootstrap.system_call_filter: false

配置完成后，切换用户，重新启动。
启动成功后，进入IP192.168.21.187
页面显示：

后台启动elasticsearch

#后台启动
./elasticsearch -d
#停止--查看进程
ps -ef | grep elastic
#杀死进程
kill -9 2382（进程号）