elasticsearch - 为什么 Elasticsearch 因非事件分片和logstash在批量操作上失败而崩溃？

Question

我目前正在1个Ubuntu 14.04机器上测试ELK堆栈。它具有6 GB的RAM和1TB的存储空间。这是相当适度的，但是对于我获取的数据量来说，这应该足够了吗？我遵循了本指南elk stack guide。总而言之，我的Kibana4，Logstash 1.5和Elasticsearch 1.4.4都在一个盒子上运行，并且nginx服务器充当反向代理，因此我可以从外部访问Kibana。与指南的主要区别在于，我从logstash转发器获取json输入，而不是系统日志，每分钟发送约300个事件。

一旦开始，一切都很好-日志显示在Kibana上，没有任何错误。大约3个小时后，elasticsearch崩溃了。我得到一个

Discover: Cannot read property 'indexOf' of undefined

网站上的错误。日志可以在 pastebin上看到。似乎分片变得不 Activity ，elasticsearch更新了index_buffer的大小。

如果我刷新了Kibana UI，它将重新开始为我的json日志工作。但是，如果我测试其他日志源(使用TCP输入而不是伐木 worker )，则会收到与上述类似的错误，除了我停止处理日志-从10分钟到一个小时的任何时间，我不再处理任何日志，并且除非执行kill -KILL，否则我无法停止logstash。

Killing logstash (pid 13333) with SIGTERM
Waiting logstash (pid 13333) to die...
Waiting logstash (pid 13333) to die...
Waiting logstash (pid 13333) to die...
Waiting logstash (pid 13333) to die...
Waiting logstash (pid 13333) to die...
logstash stop failed; still running.

Logstash error log shows。 Logstash .log文件为空...

对于tcp输入，在每15分钟通过logstash进行一次批量插入过程中，大约会收到1500个事件。

有什么想法吗？

编辑:我还观察到，当开始我的Elasticsearch过程时，我的碎片设置为较低的mb ...

[2015-05-08 19:19:44,302][DEBUG][index.engine.internal    ] [Eon] [logstash-    2015.05.05][0] updating index_buffer_size from [64mb] to [4mb]

Answer 1

@jeffrey，我对DNS过滤器有同样的问题。

我做了两件事。
我安装了dnsmasq作为DNS缓存解析器。如果您有高延迟或高负载DNS服务器，它会有所帮助。

其次，我增加了logstash的工作线程数。只需使用-w选项。

在没有dnsmasq的情况下使用线程欺骗。使用dnsmask欺骗而不使用线程。