Logstash启动失败主因是Java版本不兼容（禁用JDK 17+，推荐OpenJDK 11）或配置语法错误（如缺右括号、字段拼写错），需用logstash -t校验；Filebeat直连ES更轻量但缺过滤能力；Kibana无结果多因索引模式时间字段不匹配；ES内存压力大可临时关闭refresh_interval。
ELK 里 logstash 启不来，常见是 Java 版本或配置语法错
Logstash 依赖 Java，但不支持 JDK 17+（截至 8.13），强行用会报 java.lang.UnsupportedClassVersionError。另外，logstash.conf 里少一个右大括号、字段名拼错成 filed，都会导致启动失败且日志只显示“pipeline aborted”，没具体行号。
- 确认 Java 版本：
java -version，推荐用 OpenJDK 11（官方明确兼容） -
logstash -t -f /etc/logstash/conf.d/app.conf先做配置校验，别直接systemctl start - 输入插件别写
path => "/var/log/*.log"——glob不支持*开头，得用"/var/log/**/*.log"或分多行写死路径
Filebeat 直连 Elasticsearch 比走 Logstash 更轻量，但少过滤能力
如果只是收 Nginx 或系统日志，不做字段拆解、正则清洗、IP 地理位置 enrich，Filebeat + ES 是更稳的选择。Logstash 启动慢、内存吃 1G+，而 Filebeat 常驻进程不到 50MB。
- Filebeat 输出到 ES：删掉
output.logstash块，改用output.elasticsearch，注意配hosts和index名 - 想保留 Logstash 的 grok 解析？那就把 Filebeat 的
output.logstash指向本地localhost:5044，Logstash 输入插件用beats协议监听 - Filebeat 的
fields可加 service 名、环境标签，ES 里能直接聚合，比在 Logstash 里add_field更早介入
Kibana 找不到索引，大概率是索引模式没匹配上时间字段
ES 里能看到数据，Kibana 却提示 “No results match your search”，八成是创建 Index Pattern 时选错了时间字段，或者日志里压根没 @timestamp 或 time 这类标准字段。
- 先查一条文档：
curl -XGET "http://localhost:9200/myapp-logs-2024.06.15/_search?size=1"，看返回里有没有时间字段，值是不是合法 ISO 格式 - Index Pattern 名要和实际索引名一致，比如索引叫
nginx-access-2024.06.*，Pattern 就填nginx-access-*，别漏* - 如果日志时间在
log_time字段，Kibana 创建 Pattern 时手动选它，别硬套默认的@timestamp
Elasticsearch 内存爆掉，别急着加机器，先关掉 refresh_interval
日志写入量大时，ES 默认每秒刷一次内存 buffer 到 segment，频繁 merge + refresh 会拖垮 heap。尤其单机部署 ELK，docker run -e "ES_JAVA_OPTS=-Xms2g -Xmx2g" 还扛不住，问题不在内存大小，而在刷新节奏。
- 批量导入或高峰写入期，临时关自动刷新：
PUT /myapp-logs-2024.06.15/_settings { "refresh_interval": "-1" } - 写完再开：
PUT /myapp-logs-2024.06.15/_settings { "refresh_interval": "1s" } - 别长期关——关太久会导致搜索延迟高，且 segment 太大会拖慢 recovery
Logstash 配置里一个空格能卡住整个 pipeline，Kibana 时间范围选错会让查询永远为空，ES 的 refresh_interval 和 number_of_replicas 改动后不会立即生效……这些细节不跑一遍根本记不住。
