::: ZOSEL ::: :: Logstash + ElasticSearch + Kibana를 이용한 실시간 로그 분석

Logstash, ElasticSearch, Kibana 이것들은 무엇인가?

- Logstash

각종 로그를 가져와 보기 좋은 형태로 만들어 줍니다.

- ElasticSearch

Lucene 바탕으로 개발한 분산 검색엔진입니다.

- Kibana

ElasticSearch의 저장 된 데이터를 사용자에게 보기 좋게 웹으로 보여줍니다.

실시간 로그 분석 시스템의 구성도는 어떻게 되는가?

Logstash에서 1.2.2 기준으로 추천하는 구성도 입니다.

이전 버전에서는 Redis 대신 RabbitMQ를 사용했었는데 복잡성 때문에 Redis를 사용하기 시작 했다고 합니다.

Redis를 사용하는 이유는 Logstash에서 가져온 데이터를 디스크 I/O를 거치지 않고 Memory로 처리 하도록 사용됩니다.

실시간 로그 분석 시스템을 실제로 만들어 보자.

본 글은 CentOS 6.4(x86_64)에서 테스트 되었고 난이도는 하급 정도가 되겠으며 테스트 용도로 구축한 것이기 때문에 한 서버에 모든 프로그램이 동작하게 됩니다.

그러므로 테스트 환경에서는 2~4GB 정도의 서버 메모리가 필요하며, 실서버에 적용시 각각의 프로그램 용도에 맞게 분산해서 구축 하셔야 합니다.

설치 순서는 Nginx -> Redis -> JDK -> ElasticSearch -> Logstash -> Kibana 가 되겠습니다.

1. Nginx 설치

Nginx의 저장소 추가하여 설치를 진행합니다.

[root@ruo91 ~]# nano /etc/yum.repos.d/nginx.repo

[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/6/$basearch/
gpgcheck=0
enabled=0

[root@ruo91 ~]# yum --enablerepo=nginx install -y nginx

- nginx.conf 설정

Access 로그가 JSON 포멧 방식으로 저장 되도록 설정합니다.

[root@ruo91 ~]# nano /etc/nginx/nginx.conf

user nginx;
access_log off;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;
worker_processes 1;
events {
worker_connections 1024;
}
http {
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
#tcp_nopush on;
keepalive_timeout 65;
#gzip on;
# JSON
  log_format json_format '{ "@time": "$time_iso8601", '
    '"@fields": { '
        '"country": "$http_cf_ipcountry", '
        '"ip": "$remote_addr", '
        '"status": "$status", '
    '"request": "$request", '
        '"size": "$body_bytes_sent", '
        '"user-agent": "$http_user_agent", '
        '"referrer": "$http_referer" } }';
# yongbok.net
server {
listen 80;
server_name yongbok.net www.yongbok.net;
root /home/ruo91/public_html;
index index.html;
# Logs
access_log /storage/logs/www-access.json json_format;
error_log /storage/logs/www-error.log;
}
}

JSON 포멧의 Access 로그는 아래와 같이 저장이 됩니다.

{
"@time": "2013-11-03T15:12:57+09:00",
"@fields":
{
"country": "US",
"ip": "66.249.73.31",
"status": "200",
"request": "GET /blog/page/25/ HTTP/1.1",
"size": "16253",
"user-agent": "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)",
"referrer": "-"
}
}

2. Redis 설치

[root@ruo91 ~]# yum install -y redis

- Redis 실행

[root@ruo91 ~]# service redis start

3. JDK 설치

JDK (Java Development Kit)을 적절한 곳에 설치 합니다.

http://www.oracle.com/technetwork/java/javase/downloads/index.html

[root@ruo91 ~]# tar xzvf jdk-7u45-linux-x64.tar.gz
[root@ruo91 ~]# mv jdk-7u45 /usr/local/jdk
[root@ruo91 ~]# nano ~/.bash_profile

# JDK
export JAVA_HOME=/usr/local/jdk
export JDK_HOME=$JAVA_HOME
export PATH=$PATH:$JAVA_HOME/bin

[root@ruo91 ~]# source ~/.bash_profile

4. ElasticSearch 설치

http://www.elasticsearch.org/

[root@ruo91 ~]# mkdir /opt/dev
[root@ruo91 ~]# cd /opt/dev
[root@ruo91 ~]# wget https://download.elasticsearch.org/elasticsearch/elasticsearch/elasticsearch-0.90.5.tar.gz
[root@ruo91 ~]# tar xzvf elasticsearch-0.90.5.tar.gz
[root@ruo91 ~]# cd elasticsearch-0.90.5

ElasticSearch의 모니터링을 위한 필수 Plugin 설치 (head, bigdesk)

[root@ruo91 ~]# bin/plugin -install mobz/elasticsearch-head
[root@ruo91 ~]# bin/plugin -install lukas-vlcek/bigdesk

- ElasticSearch 실행

[root@ruo91 ~]# screen -S ElasticSearch
[root@ruo91 ~]# /opt/dev/elasticsearch-0.90.5/bin/elasticsearch -f

[2013-11-04 20:59:46,452][INFO ][node ] [Franz Kafka] version[0.90.5], pid[20250], build[c8714e8/2013-09-17T12:50:20Z]
[2013-11-04 20:59:46,453][INFO ][node ] [Franz Kafka] initializing ...
[2013-11-04 20:59:46,458][INFO ][plugins ] [Franz Kafka] loaded [], sites [bigdesk, head]
[2013-11-04 20:59:48,401][INFO ][node ] [Franz Kafka] initialized
[2013-11-04 20:59:48,401][INFO ][node ] [Franz Kafka] starting ...
[2013-11-04 20:59:48,474][INFO ][transport ] [Franz Kafka] bound_address {inet[/0:0:0:0:0:0:0:0:9300]}, publish_address {inet[/127.0.0.1:9300]}
[2013-11-04 20:59:51,549][INFO ][cluster.service ] [Franz Kafka] new_master [Franz Kafka][xtRk5GxmRPODRcrlbdYK7A][inet[/127.0.0.1:9300]]{master=true}, reason: zen-disco-join (elected_as_master)
[2013-11-04 20:59:51,578][INFO ][discovery ] [Franz Kafka] elasticsearch/xtRk5GxmRPODRcrlbdYK7A
[2013-11-04 20:59:51,590][INFO ][http ] [Franz Kafka] bound_address {inet[/0:0:0:0:0:0:0:0:9200]}, publish_address {inet[/127.0.0.1:9200]}
[2013-11-04 20:59:51,590][INFO ][node ] [Franz Kafka] started
[2013-11-04 20:59:52,107][INFO ][gateway ] [Franz Kafka] recovered [2] indices into cluster_state

Ctrl + A + D를 눌러 screen 을 빠져 나옵니다. 진행 상황을 보려면 screen -r 로 언제든지 복귀 할수 있습니다.

5. Logstash 설치

http://logstash.net/

[root@ruo91 ~]# wget -P /opt/dev https://download.elasticsearch.org/logstash/logstash/logstash-1.2.2-flatjar.jar

- Logstash log shipper 설정 파일

가져올 로그를 지정하고 Redis로 데이터 저장

[root@ruo91 ~]# nano /opt/dev/logstash-shipper.conf

input {
file {
path => "/storage/logs/www-access.json" # JSON 포멧 방식의 Access log
type => nginx
format => json_event
}
}
output {
stdout { debug => true }
redis {
host => "127.0.0.1"
data_type => "list"
key => "logstash" # Redis에 저장시 사용할 Key 이름
}
}

- Logstash 실행

screen 명령어로 Logstash를 실행

[root@ruo91 ~]# screen -S logstash-shipper

[root@ruo91 ~]# java -jar /opt/dev/logstash-1.2.2-flatjar.jar agent -f /opt/dev/logstash-shipper.conf

{
"host" => "yongbok.net",
"path" => "/storage/logs/www-access.json",
"country" => "US",
"ip" => "66.249.73.95",
"status" => "404",
"request" => "GET /blog/page/110/?/entry/cannot-restore-segment-prot-after-reloc-Permission-denied&paged=107 HTTP/1.1",
"size" => "12681",
"user-agent" => "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)",
"referrer" => "-",
"@timestamp" => "2013-11-04T11:37:11.202Z",
"@version" => "1",
"type" => "nginx"
}

위와 같이 로그를 가져옴과 동시에 Redis로 저장이 됩니다. Ctrl + A + D를 눌러 screen 을 빠져 나옵니다.

진행 상황을 보려면 screen -r 로 언제든지 복귀 할수 있습니다.

- Logstash Indexer 설정 파일

Redis에 저장 된 데이터를 ElastaicSearch로 전송

[root@ruo91 ~]# nano /opt/dev/logstash-indexer.conf

input {
redis {
# redis 설정 값은 logstash-shipper.conf 설정과 동일 해야 합니다.
host => "127.0.0.1"
data_type => "list"
key => "logstash"
# json event를 Redis에서 가져오기 위해 json 코덱을 사용합니다.
codec => json
}
}
output {
stdout { debug => true debug_format => "json"}
elasticsearch { host => "127.0.0.1" }
}

- Logstash Indexer 실행

[root@ruo91 ~]# screen -S logstash-indexer

[root@ruo91 ~]# java -jar /opt/dev/logstash-1.2.2-flatjar.jar agent -f /opt/dev/logstash-indexer.conf

이제 Indexer가 Redis에 저장 된 데이터를 읽어와서 ElasticSearch로 저장합니다.

Ctrl + A + D를 눌러 screen 을 빠져 나옵니다.

진행 상황을 보려면 screen -r 로 언제든지 복귀 할수 있습니다.

ElasticSearch의 head 플러그인을 통해 logstash index가 생성 되어 데이터가 들어가 있는지 확인 해봅니다.

잘 들어 있네요.

5. Kibana 설치

Kibana는 Logstash를 web으로 구동했을때와 ElasticSearch의 Plugin으로 설치 했을때 모두 사용이 가능합니다.

Nginx 웹서버를 이미 사용중이므로 가상호스트 사용자의 public_html 디렉토리에 바로 넣어 설치 하겠습니다.

[root@ruo91 ~]# git clone https://github.com/elasticsearch/kibana.git
[root@ruo91 ~]# mv kibana/src /home/ruo91/public_html/kibana
[root@ruo91 ~]# chown -R ruo91:ruo91 /home/ruo91/public_html/kibana

- Kibana 설정

config.js에서 ElasticSearch의 서버 아이피와 kibana_index를 수정합니다.

kibana_index는 logstash-indexer가 index를 logstash-2013.11.04 형태로 생성 하므로 와일드 카드로 주면 날짜와 상관 없이 불러 올수 있습니다.

[root@ruo91 ~]# su - ruo91
[ruo91@ruo91 ~]$ nano public_html/kibana/config.js

/**
* These is the app's configuration, If you need to configure
* the default dashboard, please see dashboards/default
*/
define(['settings'],
function (Settings) {

return new Settings({
/**
* URL to your elasticsearch server. You almost certainly don't
* want 'http://localhost:9200' here. Even if Kibana and ES are on
* the same host
*
* By default this will attempt to reach ES at the same host you have
* elasticsearch installed on. You probably want to set it to the FQDN of your
* elasticsearch host
* @type {String}
*/
/* elasticsearch: "http://"+window.location.hostname+":9200", */
elasticsearch: "http://localhost:9200",
/**
* The default ES index to use for storing Kibana specific object
* such as stored dashboards
* @type {String}
*/
kibana_index: "logstash-*",
/**
* Panel modules available. Panels will only be loaded when they are defined in the
* dashboard, but this list is used in the "add panel" interface.
* @type {Array}
*/
panel_names: [
'histogram',
'map',
'pie',
'table',
'filtering',
'timepicker',
'text',
'fields',
'hits',
'dashcontrol',
'column',
'derivequeries',
'trends',
'bettermap',
'query',
'terms',
'sparklines'
]
});
});

- Kibana 웹으로 확인

http://your-domain.com/kibana/ 에 접속해서 실시간으로 로그를 분석할수 있게 됩니다.

감사합니다. :D

« 2024/05 »

일

월

화

수

목

금

토