为什么kibana中没有logstash索引

Question

根据digitalocean教程，我用我的ELK节点作为RedHat服务器设置了ELK stack和filebeat。Kibana已启动并运行，但当我将索引模式配置为logstash-*时，我看不到任何logstash索引：

Unable to fetch mapping. Do you have any indices matching the pattern? 

当我做卷曲以查看我的索引时，它们只是filebeat索引。Filebeat应该将数据推送到正在监听5044的logstash

$curl 'localhost:9200/_cat/indices?v'
health status index               pri rep docs.count docs.deleted store.size pri.store.size 
yellow open   filebeat-2017.01.10   5   1       3864            0      1.7mb          1.7mb 
yellow open   filebeat-2017.06.17   5   1       1848            0    740.1kb        740.1kb 
yellow open   filebeat-2017.01.18   5   1      77062            0       33mb           33mb 
yellow open   filebeat-2017.09.14   5   1       1932            0      1.1mb          1.1mb 
yellow open   filebeat-2017.01.11   5   1      19094            0      3.6mb          3.6mb 
yellow open   .kibana  

您可以看到我只有filebeat索引。我检查了我的端口是否打开，并且根据教程，我的配置文件是正确的。有什么问题吗？Filebeat应该将日志从 /var/log/*. log发送到logstash，再发送到elasticsearch。

当我

tail /var/log/logstash/logstash.log

我的日志里什么都没有。我已经检查过了，logstash、filebeat、kibana和elasticsearch都在运行。我也做了配置文件测试，它说没问题：

$sudo service logstash status
logstash is running

在我的麋鹿节点上，我可以清楚地看到端口5044正在监听：

$ netstat -tulpn | grep -i listen | grep -v tcp6
 tcp        0      0 :::5044                     :::*                        LISTEN      -  

Answer 1

您是否在管理层的Kibana中定义了索引

很明显，您将无法找到您在Kibana中使用logstash创建的索引，除非您在Kibana的Managmen部分中手动创建它。

确保使用logstash创建的标识的名称相同。看一下文件，它传达了：

当您定义索引模式时，与该模式匹配的索引必须存在于Elasticsearch中。这些索引必须包含数据。

这基本上是说索引应该存在，以便您在Kibana中创建索引。logstash只在Elasticsearch本身中创建索引，而您必须在Kibana中手动创建索引，以便访问并可视化数据。

希望有帮助！

Answer 2

Filebeat使用Filebeat YYYY的模式创建每日索引。嗯。dd所以你不应该期望在Elasticsearch中看到logstash索引。

Filebeat文档中推荐的Logstash配置将数据写入基于“%{[@metadata][beat]}-%{YYYY.MM.dd}”的索引，其中[@metadata][beat]默认为节拍（Filebeat）的名称，除非输出。logstash。索引在文件节拍配置中配置。下面是Logstash的基本配置。

input {
  beats {
    port => 5044
  }   
}   

output {
  elasticsearch {
    hosts => "localhost:9200"
    manage_template => false
    index => "%{[@metadata][beat]}-%{+YYYY.MM.dd}"
    document_type => "%{[@metadata][type]}"
  }   
}

您可以检查这些索引中的数据，看看它是否是您希望通过以下命令从filebeat获得的数据：

curlhttp://localhost:9200/filebeat-*/_搜索？漂亮的