Warum versenden Leute Logs mit NXLog und nicht Logstash selbst?

Question

Ich lese a blog post über das Einrichten von Logstash, Elasticsearch und Kibana, und der Autor schlug vor, NXLog zu verwenden, um Protokolle von verschiedenen Computern zu versenden. Ein typisches verteiltes Szenario, das in "The Logstash Book" dargestellt wird, zeigt, wie Logstash sowohl in der Versand- als auch in der Indexierungsrolle verwendet werden kann. Wir experimentieren gerade mit Logstash und richten es so ein, dass Logs nach Elasticsearch geschickt werden. Also frage ich mich, warum Leute NXLog als Log-Versender für Logstash wählen, anstatt Logstash an beiden Enden zu verwenden.

Answer 1

Das logstash-forwarder Projekt, die früher als "Lumberjack" bekannt ist, erklärt es wie folgt:

Ressourcennutzung Bedenken

empfundene Probleme: Einige Benutzer logstash Versionen als "groß" anzuzeigen oder haben eine generalisierte Angst vor Java.

Aktuelle Probleme: Logstash, für jetzt, läuft mit einer Stellfläche, die ist nicht zu unterversorgten Systemen wie EC2 Mikro Instanzen; auf anderen Systemen ist es in Ordnung. Dieses Projekt wird bis existieren, das aufgelöst wird.

Transportprobleme

Wenige log Transportmechanismen sorgen für Sicherheit, geringe Latenz und Zuverlässigkeit.

Das von diesem Projekt verwendete Lumberjack-Protokoll existiert, um ein Netzwerkprotokoll für die Übertragung bereitzustellen, das sicher ist, niedrige Latenz, niedrige Ressourcennutzung und zuverlässig.

A Logstash Versender Instanz ist nicht besonders Schwergewicht, aber wenn Ihre Maschine nur 1-2GB RAM hat, kann es schwierig sein, zu beiläufig mehrere hundert MB an eine andere JVM-Instanz zuordnen.

Eine weitere Überlegung: Was ist, wenn Ihre Versenderknoten ein Betriebssystem ausführen, das nicht von Logstash unterstützt wird? Logstash kann jetzt unter Windows laufen, aber es ist immer noch auf der fehlerhaften Seite der Dinge. Ich kann nicht ausdrücklich für NXLog in diesem Bereich bürgen, aber ich nehme an, es ist eine beliebte Wahl.

Answer 2

Wir haben den Versand mit RSyslog statt mit LogStash implementiert, weil wir Java möglichst von unseren Hosts fernhalten möchten. Es macht die LogStash-Konfiguration auf dem Loghost/Filer ein wenig komplexer, aber nicht mit Java-Sicherheits-Upgrades auf Front-End-Hosts Schritt zu halten ist mühsamer, als mit dem Zerreißen von Protokollen auf dem zentralen Filer umzugehen.