ELK遇到的故障或小难点

es突然消失故障

logstash正在给es发送数据，无任何外部操作情况下，突然es没了~！：(。于是翻看我的过往操作，没有发现可以导致类似结果的命令，es的日志在当时的时间点下并没有报告任何信息。后来想到了syslog的功能，于是查看syslog的日志，在/var/log/messages（确认一下路径）中按时间查找到es故障那会儿，找到了报错故障。简单说就是内存严重不足，linux系统先后杀死了我的两个服务：mysqld和es。这两个可都是后台处理数据的呀，如此重要确也能被如此只能的OOM Killer机制选中并杀掉！

2. logstash发送给zabbix做实时监控时，使用logstash-output-zabbix插件，在output{ zabbix { zabbix_host => “string” } zabbix_key =>”string” }中，并不能使用string类型的host名或key来表示，而是field，是需要在上面input或者filter中定义过的add_field，是包含host名字的这一string型数值的字段名字。 这显然会造成空间和网络IO的浪费。这个问题咨询了一个国外的logstash开发者专家，还没回复。回复了，指明了应该使用[@metadata][zhost]放在元数据或者成为中介数据中。