Свободный + Монго против Logstash

Question

Наша команда теперь использует zabbix для мониторинга и оповещения. Кроме того, мы используем свободный доступ для сбора логов в центральный mongoDB, и он запускается на неделю. Недавно мы обсуждали другое решение - Logstash. Я хочу спросить, какая разница между ними? По моему мнению, я бы хотел использовать zabbix в качестве платформы для сбора данных и отправки предупреждений, и свободно играть роль «сбора данных» во всей инфраструктуре. Хотя я заглянул на сайт Logstash и обнаружил, что Logstash - это не только система сбора журналов, но и целые решения для сбора, представления и поиска.

Кто-нибудь может дать какой-нибудь совет или поделиться опытом?

Answer 1

Logstash довольно универсален (отказ от ответственности: играю с ним всего несколько недель).

Мы некоторое время рассматривали Graylog2 (прослушивание системного журнала и предоставление приятного пользовательского интерфейса поиска), нофункциональность обработки сообщений в нем основана на движке Drools и, в лучшем случае,… arcane.

Я обнаружил, что намного проще иметь logstash для чтения файлов системного журнала с нашего центрального сервера, массирования событий и вывода в Graylog2.,Предоставил нам гораздо большую гибкость и позволил нам добавлять события уровня приложения вместе с данными системного журнала уровня ОС.

Он имеет вывод zabbix, так что вы можете найти, что его стоит посмотреть.

Answer 2

Logstash отлично подходит для Zabbix.

Я разветвил репозиторий на github, чтобы получить вывод logstash statsd и отправить его в Zabbix для отслеживания тенденций / оповещений.Как было упомянуто другим, logstash также имеет плагин вывода Zabbix, который отлично подходит для уведомления / отправки о соответствующих событиях.

Лично я предпочитаю нативный Logstash-> Elasticsearch бэкэнд Logstash-> Graylog2 (-> Elasticsearch) .

Управлять проще, особенно если у вас большой объем данных журнала.В настоящее время Graylog2 также использует Elasticsearch, но использует только один индекс для всех данных.Если вы периодически очищаете старые данные, это означает, что многие из SQL-запросов типа «удалить из таблицы, где date> YYYY.MM.DD» очищают старые данные, где Logstash по умолчанию использует ежедневные индексы (эквивалент"перетащить таблицу YYYY.MM.DD"), так что уборка приятнее.

Это также приводит к более чистому поиску, требующему меньшего пространства кучи, поскольку вы можете выполнять поиск по известной дате, поскольку индекс назван для данных дня, которые он содержит.