ELK搭建遇到的坑

1、logstash无法启动，提示bind address

原因：

1）配置目录下存在多个配置文件，而logstash会加载所有conf格式的文件

解决方案：删除不必要的，保留一个conf文件即可

2）进程未结束

解决方案：kill -9 pid 强制结束进程，再启动服务即可

2、kibana无法解析出日志的相应字段，报_grokparsefailure

原因：正则存在问题或者日志不符合正则格式

解决方案：在http://grokdebug.herokuapp.com/上调试正则，同时确保日志中不存在多余空格等异常

比较诡异的是：http_proxy_ip可以，X-Forwarded-For不可以。。。