更多后台运行方式参考：
http://kibana.logstash.es/content/logstash/get_start/daemon.html
elk常见错误：
http://www.ttlsa.com/log-system/troubleshooting-elk-common-issues/
http://www.cnblogs.com/galengao/p/5780544.html
logstash
codec配置参考：http://kibana.logstash.es/content/logstash/plugins/codec/
start_position参考：http://kibana.logstash.es/content/logstash/plugins/input/file.html
配置参考，同时设置标准输出，可以在窗口里看到实时动态。
扯
1、对于日志文件，logstash不是认行，多行可能被放在一个msg里面，叫做一个事件，所以我猜这就是设置codec作用。
2、对于整个elk框架来说，最重要的就是logstash的配置文件了。
建议看官网示例，看别的博客的示例，总是搞不好，搞得自己怀疑人生。https://www.elastic.co/guide/en/logstash/current/plugins-filters-grok.html
input {
file{
path => ["/export/server/tomcat7/logs/localhost_access_log.2016-08-25.txt"]
start_position => "beginning"
}
}
filter {
grok {
match => {
"message" => "%{IP:client} (%{USERNAME:ident}|-) (%{USERNAME:auth}|-) \[%{HTTPDATE:timestamp}\] \"%{WORD:method} %{URIPATHPARAM:request} (HTTP/%{NUMBER:http_version}|-)\" %{NUMBER:response} %{NUMBER:bytes}"
}
}
}
output {
stdout{
elasticsearch {hosts => "192.168.1.11" }
stdout { codec=> rubydebug }
}
}
Elasticsearch
head插件
更多图文参考：http://my.oschina.net/itblog/blog/547250#OSC_h4_7
kibana
图表的使用
kibana的使用参考：
http://my.oschina.net/itblog/blog/547250#OSC_h4_8
http://www.cnblogs.com/yincheng/p/logstash.html?utm_source=tuicool&utm_medium=referral