建议申请5台机器部署elfk：

filebeat(每台app)--> logstash(2台keepalived)--> elasticsearch(3台)--> kibana(部署es上)采集输出              处理+转发             分布式存储              展示

ELK中文社区: 搜索客，搜索人自己的社区

官方文档：Documentation

Elasticsearch: Elasticsearch Guide | Elastic

Logstash: Logstash Reference | Elastic

Kibana: Kibana Guide | Elastic

Filebeat: Filebeat Reference | Elastic

实验准备工作:

1，本次实验准备2台机器部署elfk：

• 192.168.10.11 es1.qf.com Elasticsearch/kibana/head 2U3G

• 192.168.10.12 es2.qf.com Elasticsearch/logstash 2U3G

2，角色划分：

• 2台机器全部安装jdk1.8, 因为elasticsearch是java开发的

• 2台全部安装elasticsearch (后续都简称为es)

• master节点上需要安装kibana以及head插件

• data上安装 logstash

3，ELK版本信息：

• Elasticsearch-6.4.1

• logstash-6.4.1

• kibana-6.4.1

• filebeat-6.4.1

4，所有机器做好互相解析,时间同步, 关闭防火墙, selinux

5，设置JVM堆大小，注意: 这一步在本实验中不做, 因为我们的虚拟机本身内存就很小, 在公司服务器性能比较强悍, 为了提高es性能, 需要设置。

# sed -i 's/-Xms1g/-Xms4g/' /usr/local//es/config/jvm.options

# sed -i 's/-Xmx1g/-Xmx4g/' /usr/local/es/config/jvm.options

注意：确保堆内存最小值（Xms）与最大值（Xmx）的大小相同，防止程序在运行时改变堆内存大小。

如果系统内存足够大，将堆内存最大和最小值设置为31G，因为有一个32G性能瓶颈问题。堆内存大小不要超过系统内存的50%