ELK系列--logstash无法启动

1、logstash无法启动，提示bind address 

 

原因：

 

1）配置目录下存在多个配置文件，而logstash会加载所有conf格式的文件

 

解决方案：删除不必要的，保留一个conf文件即可

 

 

2）进程未结束

 

解决方案：kill -9 pid 强制结束进程，再启动服务即可

 

 

2、kibana无法解析出日志的相应字段，报_grokparsefailure 

 

原因：正则存在问题或者日志不符合正则格式

 

解决方案：在http://grokdebug.herokuapp.com/上调试正则，同时确保日志中不存在多余空格等异常

 

比较诡异的是：http_proxy_ip可以，X-Forwarded-For不可以。。。