logstash 安装后 100% CPU 使用率答案

【问题标题】：100% CPU usage after logstash installlogstash 安装后 100% CPU 使用率
【发布时间】：2014-09-16 11:11:37
【问题描述】：

我按照this 教程在我的 Ubuntu 服务器上安装了一个软件堆栈 Logstash/ES/Kibana。在尝试发送日志之前，我更改了 logstash 配置以在本地测试所有内容。所以我有一个运行 ES/Kibana 和 Logstash 的单节点配置如下：

input {
  file {
    path => "/var/log/syslog"
    type => "syslog"
  }
}
output {
  elasticsearch { host => localhost }
}

我在 Kibana 上看到的一切都按预期工作，但我有一个占用 100% cpu 的后台进程。 Top 告诉我这是在 logstash 用户下运行的 java 中的一项工作。 sudo service logstash stop 不会停止进程运行。我还尝试删除this 之后的网络服务，但没有成功。

【问题讨论】：

标签： ubuntu logstash

【解决方案1】：

Digital Ocean的教程在Kibana前面使用nginx，监听80端口。logstash自带logstash-web em> 也想监听 80 端口。

由于Ubuntu 使用upstart，试图杀死java 进程不会成功，因为它们会根据/etc/init/logstash*.conf 不断重生。高 CPU 使用率是因为 logstash 在启动时使用了大量 CPU 时间，几秒钟后应该会平静下来，但是因为它无法绑定到端口 80 并不断重生，它看起来好像在不断地使用资源。

如果您遇到与我相同的问题，请查看 logstash 的 PID，您会发现它们发生了变化。您还应该在/var/log/logstash/logstash.log 的末尾看到Address already in use - bind - Address already in use。

所以，我们只需要禁用 logstash-web。在 Ubuntu 上，这可以通过以下方式完成：

$ echo 手册 | sudo tee /etc/init/logstash-web.override

要在不重新启动的情况下停止 logstash-web，我们使用

$ sudo stop logstash-web

【讨论】：

显然我没有注意到 OP 的链接具有相同的禁用 logstash-web 的说明。对于那个很抱歉。也许我的回答仍然可以帮助调试问题。
我试过但没有用。它正在杀死我的系统，cpu 的所有四个核心几乎都在 100% 使用。最后，我不得不卸载logstash。
@ajay 您是否注意到 PID 的相同行为并在日志中得到相同的消息？

【解决方案2】：

您可以使用skill -u logstash 终止logstash 进程。在前台运行 logstash，增加详细程度。

如果您（暂时）将输出更改为标准输出，您会注意到什么？

请注意，如果您可能会与其他节点进行通信；说host => localhost 并不意味着你只是与端口9300 通信（我建议在lo 和eth0 上使用tcpdump 进行测试（或任何合适的）。所以检查你的防火墙，也许采取防火墙暂时关闭。

还要注意localhost 可能会给你一个 IPv6 结果；你可以改用127.0.0.0。

elasticsearch 输出的文档可见logstash docs

你没有说你是否使用嵌入式弹性搜索；默认是假的，所以我猜你不是。

我确实记得在我自己的部署中，logstash 和 elasticsearch 存在于同一主机上，并且端口 9300 发生冲突；我通过让 logstash 使用端口 9301 (bind_port) 解决了这个问题。

我建议您也应该设置“集群”。默认的“协议”将是“节点”，这意味着它将尝试成为集群的一部分（虽然不是数据节点），您可以尝试将其更改为“传输”或http 并观察行为变化。

我发现在开始时仔细查看网络流量以仔细验证行为非常有用。

FWIW，我发现“Logstash Book”非常值得（而且便宜）。

【讨论】：