建议申请5台机器部署elfk：
filebeat(每台app)--> logstash(2台keepalived)--> elasticsearch(3台)--> kibana(部署es上)采集输出 处理+转发 分布式存储 展示
ELK中文社区: 搜索客，搜索人自己的社区
官方文档：Documentation
Elasticsearch: Elasticsearch Guide | Elastic
Logstash: Logstash Reference | Elastic
Kibana: Kibana Guide | Elastic
Filebeat: Filebeat Reference | Elastic
实验准备工作:
1，本次实验准备2台机器部署elfk：
• 192.168.10.11 es1.qf.com Elasticsearch/kibana/head 2U3G
• 192.168.10.12 es2.qf.com Elasticsearch/logstash 2U3G
2，角色划分：
• 2台机器全部安装jdk1.8, 因为elasticsearch是java开发的
• 2台全部安装elasticsearch (后续都简称为es)
• master节点上需要安装kibana以及head插件
• data上安装 logstash
3，ELK版本信息：
• Elasticsearch-6.4.1
• logstash-6.4.1
• kibana-6.4.1
• filebeat-6.4.1
4，所有机器做好互相解析,时间同步, 关闭防火墙, selinux
5，设置JVM堆大小，注意: 这一步在本实验中不做, 因为我们的虚拟机本身内存就很小, 在公司服务器性能比较强悍, 为了提高es性能, 需要设置。
# sed -i 's/-Xms1g/-Xms4g/' /usr/local//es/config/jvm.options
# sed -i 's/-Xmx1g/-Xmx4g/' /usr/local/es/config/jvm.options
注意：确保堆内存最小值（Xms）与最大值（Xmx）的大小相同，防止程序在运行时改变堆内存大小。
如果系统内存足够大，将堆内存最大和最小值设置为31G，因为有一个32G性能瓶颈问题。堆内存大小不要超过系统内存的50%