robcowart/elastiflow-logstash-oss

在Docker上运行ElastiFlow™

![patreon]([] https://img.shields.io/badge/Donate-***-green.svg]([] https://img.shields.io/***/url/http/shields.io.svg?style=social]([***]

支持ElastiFlow™

目前已有数千用户将ElastiFlow™作为昂贵商业流量收集解决方案的替代工具。随着其 popularity 增长，支持用户和进一步增强功能的时间投入也在增加。如果您的组织认可ElastiFlow™的价值，欢迎通过Patreon成为赞助商，支持项目持续发展。

在Docker上设置ElastiFlow™

使用Docker和docker-compose是快速启动ElastiFlow™的最简单方式。以下步骤将引导您完成单节点ElastiFlow的Docker安装。

注意：假设您拥有一台安装了最新Linux发行版、Docker和docker-compose的服务器。

准备数据路径

容器内的文件系统数据是临时的，容器移除后会丢失。为持久化数据，需将数据写入本地主机文件系统（绑定挂载）。请在本地主机创建路径并设置权限：

bash
sudo mkdir /var/lib/elastiflow_es
sudo chown -R 1000:1000 /var/lib/elastiflow_es

自定义docker-compose.yml环境变量

默认配置可快速启动，但您可能需要根据需求修改。将仓库中的docker-compose.yml复制到服务器后，编辑相关环境变量。ElastiFlow Logstash容器可使用INSTALL.md中讨论的环境变量配置。

使用docker-compose启动Elastic Stack

启动包含ElastiFlow管道的Elastic Stack（含Logstash）： 在放置docker-compose.yml的路径下运行：

bash
sudo docker-compose up -d

导入仪表盘到Kibana

通过Kibana UI导入索引模式、可视化和仪表盘：从Kibana的“管理 -- 已保存对象”页面导入elastiflow.kibana.VERSION.json文件（链接：https://github.com/robcowart/elastiflow/tree/master/kibana%EF%BC%89%E3%80%82%E6%82%A8%E5%8F%AF%E8%83%BD%E8%BF%98%E9%9C%80%E9%85%8D%E7%BD%AE%60INSTALL.md%60%E4%B8%AD%E6%8E%A8%E8%8D%90%E7%9A%84%E9%AB%98%E7%BA%A7Kibana%E8%AE%BE%E7%BD%AE%E3%80%82

docker-compose.yml示例

yaml
version: '3'

services:
  elastiflow-elasticsearch-oss:
    image: docker.elastic.co/elasticsearch/elasticsearch-oss:7.3.0
    container_name: elastiflow-elasticsearch-oss
    restart: 'no'
    ulimits:
      memlock:
        soft: -1
        hard: -1
    network_mode: host
    volumes:
      - /var/lib/elastiflow_es:/usr/share/elasticsearch/data
    environment:
      # JVM堆大小
      #   - 简单测试（每秒少量流量）至少需2GB
      #   - 生产环境推荐最多31GB
      ES_JAVA_OPTS: '-Xms2g -Xmx2g'

      cluster.name: elastiflow

      bootstrap.memory_lock: 'true'

      network.host: 0.0.0.0
      http.port: 9200
      discovery.type: 'single-node'

      indices.query.bool.max_clause_count: 8192
      search.max_buckets: ***

      action.destructive_requires_name: 'true'

  elastiflow-kibana-oss:
    image: docker.elastic.co/kibana/kibana-oss:7.3.0
    container_name: elastiflow-kibana-oss
    restart: 'no'
    depends_on:
      - elastiflow-elasticsearch-oss
    network_mode: host
    environment:
      SERVER_HOST: 0.0.0.0
      SERVER_PORT: 5601

      ELASTICSEARCH_HOSTS: "[***]"

      KIBANA_DEFAULTAPPID: "dashboard/653cf1e0-2fd2-11e7-99ed-49759aed30f5"

      LOGGING_QUIET: 'true'

  elastiflow-logstash-oss:
    image: robcowart/elastiflow-logstash-oss:3.5.1
    container_name: elastiflow-logstash-oss
    restart: 'no'
    depends_on:
      - elastiflow-elasticsearch-oss
    network_mode: host
    environment:
      # JVM堆大小 - 必须至少3GB（推荐4GB）
      LS_JAVA_OPTS: '-Xms4g -Xmx4g'

      # ElastiFlow全局配置
      ELASTIFLOW_DEFAULT_APPID_SRCTYPE: "__UNKNOWN"

      # 名称解析选项
      ELASTIFLOW_RESOLVE_IP2HOST: "false"
      ELASTIFLOW_NAMESERVER: "127.0.0.1"

      ELASTIFLOW_NETFLOW_IPV4_PORT: 2055
      ELASTIFLOW_SFLOW_IPV4_PORT: 6343
      ELASTIFLOW_IPFIX_TCP_IPV4_PORT: 4739