Logstash 报错分析与解决方法

Logstash 报错

Logstash 是 Elastic Stack 中的一部分，用于收集、解析和传输日志数据，在运行过程中，可能会遇到各种错误，导致其停止处理数据，本文将详细探讨几种常见的 Logstash 报错，并提供具体的解决步骤。

常见报错及解决方法

1、报错：Logstash could not be started because there is already another instance using the configured data directory

错误提示：

     Sending Logstash logs to /var/log/logstash which is now configured via log4j2.properties
     [20191226T07:31:29,884][WARN ][logstash.config.source.multilocal] Ignoring the 'pipelines.yml' file because modules or command line options are specified
     [20191226T07:31:30,007][FATAL][logstash.runner ] Logstash could not be started because there is already another instance using the configured data directory. If you wish to run multiple instances, you must change the "path.data" setting.
     [20191226T07:31:30,026][ERROR][org.logstash.Logstash ] java.lang.IllegalStateException: Logstash stopped processing because of an error: (SystemExit) exit

原因： 之前运行的实例有缓冲，保存在 path.data 里面有 .lock 文件，删除掉就可以。

解决办法：

1. 在logstash.yml 文件中找到 Data path 的路径（默认在安装目录的 data 目录下）。

2. 删除该路径下的 .lock 文件。

3. 重新启动 Logstash，恢复正常。

2、**报错：Failed to execute action {:action=>LogStash::PipelineAction::Create/pipeline_id:main, :exception=>"LogStash::ConfigurationError", :message=>"Expected one of #, \", ', } at line 2, column 11 (byte 20) after input {

stdin { }"

错误提示：

     Sending Logstash logs to /var/log/logstash which is now configured via log4j2.properties
     [20191226T07:57:58,880][WARN ][logstash.config.source.multilocal] Ignoring the 'pipelines.yml' file because modules or command line options are specified
     [20191226T07:58:00,268][INFO ][logstash.runner ] Starting Logstash {"logstash.version"=>"6.4.0"}
     [20191226T07:58:01,379][ERROR][logstash.agent ] Failed to execute action {:action=>LogStash::PipelineAction::Create/pipeline_id:main, :exception=>"LogStash::ConfigurationError", :message=>"Expected one of #, \", ', } at line 2, column 11 (byte 20) after input { 
 stdin { ", :backtrace=>["/usr/share/logstash/logstashcore/lib/logstash/compiler.rb:41:incompile_imperative'", "/usr/share/logstash/logstashcore/lib/logstash/compiler.rb:49:incompile_graph'", "/usr/share/logslash/logstashcore/lib/logstash/compiler.rb:11:inBLock in compile_sources'", "org/jruby/RubyArray.java:2486:inmap'", "/usr/share/logstash/logstashcore/lib.logstash/pipeline.rb:22:ininitialize'", "/usr/share/logstash/logstashcore/lib/logstash/pipeline.rb:90:ininitialize'", "/usr/logstash/execution/AbstractPipelineExt.java:157:ininitialize'", "/usr/share/logstash/logstashcore/lib/logstash/pipeline_action/create.rb:38:inexecute'", "/usr/share/logstash/logstashcore/lib/logstash/agent.rb:309:in `block in converge_state'"]}

原因： 配置脚本可能符号或空格有问题。

解决办法：

1. 建议手打一遍配置文件。

2. 确保配置文件格式正确，

        input { stdin { } }
        filter {
          grok {
            match => { "message" => "%{COMBINEDAPACHELOG}" }
          }
          date {
            match => [ "timestamp" , "dd/MMM/yyyy:HH:mm:ss Z" ]
          }
        }
        output {
          stdout { codec => rubydebug }
        }

3. 保存并重新加载配置文件。

4. 重启 Logstash 进程。

3、报错：java.lang.IllegalStateException: Logstash stopped processing because of an error

错误提示：

     Sending Logstash logs to /var/log/logstash which is now configured via log4j2.properties
     [20191226T07:31:29,884][WARN ][logstash.config.source.multilocal] Ignoring the 'pipelines.yml' file because modules or command line options are specified
     [20191226T07:31:30,007][FATAL][logstash.runner ] Logstash could not be started because there is already another instance using the configured data directory. If you wish to run multiple instances, you must change the "path.data" setting.
     [20191226T07:31:30,026][ERROR][org.logstash.Logstash ] java.lang.IllegalStateException: Logstash stopped processing because of an error: (SystemExit) exit

原因： 配置错误、资源限制、插件问题或输入/输出问题。

解决办法：

1.检查配置文件： 确保没有语法错误或配置不当，可以使用命令logstash config.test_and_exit f /path/to/your/config.conf 验证配置文件的正确性。

2.查看日志文件： Logstash 的日志文件通常包含有关错误的详细信息，查看位于/var/log/logstash/ 目录下的日志文件。

3.检查资源限制： 确保 Logstash 进程有足够的内存和磁盘空间，可以调整 JVM 参数（如 Xmx 和 Xms）来增加内存分配。

4.更新插件： 如果错误与插件有关，尝试更新或回退插件版本，使用命令logstashplugin update 更新插件。

5.检查输入/输出： 确保 Logstash 的输入和输出设置正确，并且相关服务（如 Kafka、Elasticsearch 等）运行正常，检查连接和认证信息。

6.重启 Logstash： 在解决了潜在问题后，尝试重启 Logstash 以恢复处理。

常见问题解答

以下是两个关于 Logstash 报错的常见问题及其解答：

1、问题：Logstash 无法启动，报错信息为“Logstash could not be started because there is already another instance using the configured data directory”怎么办？

答案： 这个错误通常是因为之前运行的 Logstash 实例没有完全关闭，导致数据目录被占用，解决办法是在logstash.yml 文件中更改path.data 设置，或者删除 data 目录中的.lock 文件，然后重新启动 Logstash。

2、问题：Logstash 配置文件有语法错误，如何排查和修复？

答案： 可以使用命令logstash config.test_and_exit f /path/to/your/config.conf 验证配置文件的正确性，如果发现错误，根据错误信息进行修正，保存并重新加载配置文件，然后重启 Logstash 进程。

通过以上分析和解答，相信可以帮助你更好地理解和解决 Logstash 报错的问题，如有更多疑问，请查阅官方文档或社区论坛寻求进一步的帮助。