Logstash 无法使用beats 输入通过单个端口接收所有事件

Question

我们面临的问题是，我们无法同时从服务器接收事件，这些服务器使用单个beats输入模块端口5044从不同的beats服务（如filebeat / metricbeat / winlogbeat）发送事件。虽然事件以延迟的方式到达当以这种方式使用时，我们尝试通过添加额外的输入端口（如 5045/5046 等）来解决此问题，并且事件以更快的方式到达。

考虑到logstash在Linux服务器上运行，是否有任何可用的调整参数，例如我们可以通过单个输入端口接收日志。或者拥有多个输入端口并分配负载是理想和推荐的方法吗？

如果有人遇到过此类问题，可以帮忙解决吗？ 当前配置如下：

input {
  beats{
    port => "5044"
  }
  beats{
    port => "5045"
  }
}

Answer 1

一些调优的方法-

1. 最好检查 CPU、内存、IO 或堆中哪一个使用率较高。您可以按照疑难解答步骤进行操作。
2. 在logstash上添加一些分析并尝试调整logstash工作人员、管道批量大小等。
3. 传入流量可能很大，导致 Logstash 无法处理并产生队列背压。
4. 扩展logstash - 您可以再添加一台logstash 服务器并添加

   filebeat.yml

   中的所有logstash 主机。在 filebeat 中启用 loadbalance。