Исследование нагрузки на ELK stack и тюнинг Logstash

[@nestor_by]

или promtail вместе с loki

[@alex_hollden]

Рассмотреть другой стек можно, но тогда предстоит решать проблему миграции данных и в целом переезд очень трудоемкое занятие =)

[@Aquahawk]

а не подскажете о.щий конфиг железа который крутит ваш elk кластер который переваривает 11к ссобщентй в секунду?

[@alex_hollden]

2 logstash по 6 CPU 16 Gb RAM, 3 мастер ноды 2 CPU 8 Gb RAM, горячие (они же ingest) дата ноды 10 CPU 20 Gb RAM

[@SlavikF]

Я не эксперт в экосистеме ELK, но в вышеприведённой схеме LogStash выглядит лишним. Разве не было бы более эффективным слать логи FileBeat -> Elastic?

Ingestion у Elastic можно масштабировать добавлением Ingest Nodes:

https://www.elastic.co/guide/en/elasticsearch/reference/current/modules-node.html#node-ingest-node

Processing можно делать как на FileBeat, так и на Ingest Node Pipeline. У LogStash наверное больше фишек для processing, но я думаю 90% всего нужного есть и в Pipeline processing.

Получается от LogStash одни затыки? Или у LogStash есть какая-то нужная функция в этой схеме?

[@alex_hollden]

затык в нем действительно есть =) но у нас он используется для препроцессинга логов, например парсинг через GROK/json фильтр и распределиение логов из разных неймспейсов kubernetes по индексам

[@werter_l]

Спасибо.

Попробуйте https://manticoresearch.com/ вместо. Может понравится )

[@alex_hollden]

желание что нибудь другое попробовать есть, например grafana loki, но это трудоемкая задача на долгий срок )