如何在 Ubuntu 14.04 上使用 Rsyslog、Logstash 和 Elasticsearch 实现日志集中管理

在 Ubuntu 14.04 上安装 Rsyslog、Logstash 和 Elasticsearch，并配置它们以实现日志集中管理的步骤如下：

1. 更新系统包列表并安装依赖项：

sudo apt-get update
sudo apt-get install -y openjdk-7-jdk

2. 安装 Elasticsearch：

wget -qO - https://packages.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb http://packages.elastic.co/elasticsearch/2.x/debian stable main" | sudo tee -a /etc/apt/sources.list.d/elasticsearch-2.x.list
sudo apt-get update
sudo apt-get install -y elasticsearch

3. 启动并使 Elasticsearch 随系统启动：

sudo service elasticsearch start
sudo update-rc.d elasticsearch defaults 95 10

4. 安装 Logstash：

wget -qO - https://packages.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb http://packages.elastic.co/logstash/2.3/debian stable main" | sudo tee -a /etc/apt/sources.list.d/logstash-2.3.list
sudo apt-get update
sudo apt-get install -y logstash

5. 创建 Logstash 配置文件 /etc/logstash/conf.d/syslog.conf 并添加以下内容：

input {
  syslog {
    port => "514"
  }
}
 
output {
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "syslog-%{+YYYY.MM.dd}"
  }
}

6. 启动并使 Logstash 随系统启动：

sudo /etc/init.d/logstash start
sudo update-rc.d logstash defaults 96 10

7. 安装 Rsyslog：

sudo apt-get install -y rsyslog

8. 编辑 Rsyslog 配置文件 /etc/rsyslog.conf 并确保有以下行：

$ModLoad imudp
$UDPServerRun 514
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

9. 重启 Rsyslog 服务：

sudo service rsyslog restart

至此，你应该有一个能够将系统日志收集并存储到 Elasticsearch 的集中日志管理系统。你可以通过 Kibana 对 Elasticsearch 中的日志进行可视化和搜索。如果你还没有 Kibana，可以按照以下步骤安装：

1. 添加 Kibana 仓库：

echo "deb http://packages.elastic.co/kibana/4.5/debian stable main" | sudo tee -a /etc/apt/sources.list.d/kibana-4.5.x.list

2. 更新包列表并安装 Kibana：

sudo apt-get update
sudo apt-get install -y kibana

3. 编辑 Kibana 配置文件 /etc/kibana/kibana.yml，设置 Elasticsearch 的 URL：

elasticsearch.url: "http://localhost:9200"

4. 启动并使 Kibana 随系统启动：

sudo service kibana start
sudo update-rc.d kibana defaults 97 10

现在你可以通过浏览器访问 Ki