## Sidecar 安裝`(用於graylog收集日誌)`

> 考慮到我們很多服務器沒法直接連接到互聯網，我們選擇離線安裝方式。

安裝文件存放路徑：`W:\ISD\03 Project\Graylog\graylog sidecar\Linux`


上傳安裝包到 `/tmp`
```
cd /tmp
```

安裝
```
rpm -ivh graylog-sidecar-1.3.0-1.x86_64.rpm
```

複製配置
```
cp -f /tmp/sidecar.yml  /etc/graylog/sidecar/
```

修改配置
```
vim /etc/graylog/sidecar/sidecar.yml
```

修改下面內容
```
#生產是172.18.25.12:9000/api,測試是172.19.25.12:9000/api
server_url: "http://172.18.25.12:9000/api" 
server_api_token: "在graylog上生成"
node_name: "node_xxxx_服務器ip" #xxxx是業務服務器命名
update_interval: 10
send_status: true

```
安裝服務：
```
graylog-sidecar -service install
systemctl enable graylog-sidecar
systemctl start graylog-sidecar
systemctl status graylog-sidecar
```
重啟服務：
```
systemctl restart graylog-sidecar
```

查看日誌
```
tail -fn500 /var/log/graylog-sidecar/sidecar.log
```

安裝filebeat
```
rpm -ivh filebeat-8.5.3-x86_64.rpm


```


CentOS 安裝Graylog Sidecar




>上传下面文件 到 `C:\windows_exporter\`

- windows_exporter-0.25.1-amd64.exe
- configuration.yml
- tlsCertificate.crt
- tlsCertificate.key




***管理员身份运行 `cmd`命令行界面***


>先停止原来的服务并删除
```
sc stop windows_exporter

sc delete windows_exporter

```

>创建新的服务
```
sc create windows_exporter binpath= ""C:\windows_exporter\windows_exporter-0.25.1-amd64.exe" --web.config.file "C:\windows_exporter\configuration.yml""  type= own start= auto displayname= windows_exporter

```

>启动服务
```
sc start windows_exporter
```

>访问服务
```
https://127.0.0.1:9182/
```




windows_exporter更新教程(启用tls 和 baseAuth)

## 📚GrayLog查询语言

`Graylog`的查询语法接近`Lucene`语法。默认情况下，如果未指定要搜索的消息字段，则搜索中将包括所有消息字段。

## 📗官网文档
[官方文檔](https://docs.graylog.org/docs/query-language)
```
官方文档：https://docs.graylog.org/docs/query-language
```
以下内容总结了部分查询语法以及注意事项，如果不能满足日常使用，可以查看官网文档。

## 📘页面结构
`GrayLog Search` 页面结构


![image.png](/static/img/fd8fe8d3fb53067b79726ab3208bfccd.image.webp)

## 📍注意事项

:::warning{title="❗️注意："}

`AND`、`OR` 和 `NOT` 区分大小写，并且必须全部大写。关键词大小写敏感。检索内容大小写不敏感【取决于分词器】。
:::

通配符：
- `?`：匹配单个字段
- `*`：匹配`0`个或多个字符
- 特殊字符查询需要使用`\`转义：
 `& | : \ / + - ! ( ) { } [ ] ^ " ~ * ?`
 
 
:::warning{title="⏰注意："}
如果查询条件有特殊字符未转义，`graylog`会提示错误信息。
:::

## 📜查询语法
### 💡字符查询
中文关键字会存在分词器问题。

> 模糊查询 直接输入关键词，多个词，用空格分隔【或的关系】 如果有且的关系，需要用AND 查询包含有SERVER_NAME或WorkSpace的数据
```
SERVER_NAME WorkSpace      
```

> 模糊搜索（搜索类似的字段，容差大了会很慢）
```
xxx~  #默认容差为2（错两个字符也能搜出来）
xxx~1 #设置容差为1（如果错误两个字符就搜不出来了）

```


> 精确查询 加引号

```
"SERVER_NAME" "WorkSpace"
```

>  字段查询 查询环境为dev的数据
```
env:dev
```

> 查询环境非dev的数据
```
NOT env:dev
```

>查询不存在某个字段的日志
```
NOT _exists_:type   
```


> 多字段查询
```
env:(local OR dev)
```

>多条件查询
```
env:(local OR dev) AND source:host\-10\-0\-204\-66
```

>正则匹配查询，默认导通配符是关闭的。也避免使用这种方式。
```
env:t?st AND full_message:api
```

>特殊字符转义查询：& | : \ / + - ! ( ) { } [ ] ^ " ~ * ?
```
resource:\/posts\/45326 
```




### 🗒数字字段

```
http_response_code:[500 TO *]    #查询状态码在500以上的 包含500
http_response_code:[500 TO 504]  #查询状态码在500 - 504 之间 包含 500 504
http_response_code:{400 TO 404}  #查询状态码在400 - 404 之间 不包含 400 404
bytes:{0 TO 64]
http_response_code:[0 TO 64}

http_response_code:>400
http_response_code:<400
http_response_code:>=400
http_response_code:<=400

# 组合查询
http_response_code:(>=400 AND <500)  

# 日期范围查询  时间格式为：yyyy-MM-dd HH:mm:ss.SSS
timestamp:["2022-11-12 04:31:50.693" TO "2022-11-12 06:31:50.693"]
timestamp:[now-5h TO now-4h]  #动态查询时间（h小时，d天）


```



##  📌常用查询示例

### 字段精准查询


格式：`字段名："查询信息"`

示例：`full_message:"告警信息"`


:::warning{title="注意"}
精准查询需要加引号。分词为默认分词器，对于中文默认为单字分词，不加引号查询就是模糊查询，一般不能达到预期效果。
:::

>例如：

检索【`登录失败`】关键字，如果查询条件为 【`登录失败`】，那么在使用默认分词器的情况下，会查询出来包含【登、录、失、败】这四个字的日志信息，如果查询条件为 【`“登录失败”`】可以精确查询到包含【登录失败】的日志信息。



### 组合多字段查询


示例：`level_name:"INFO" AND full_message:"13788888888"`




## 💡查询说明
`graylog`查询底层依旧是`elasticsearch`，检索不到跟分词器有关，默认是标准分词器。

例如：
消息内容如下，仅检索`IOException`会检索不到，检索`java.io.IOException`即可。

![image.png](/static/img/0c57b2d94f0abb657caab20987084d19.image.webp)
elasticsearch内置分词器：

- Standard Analyzer - 默认分词器，英文按单词词切分，并小写处理
- Simple Analyzer - 按照单词切分(符号被过滤), 小写处理
- Stop Analyzer - 小写处理，停用词过滤(the,a,is)
- Whitespace Analyzer - 按照空格切分，不转小写
- Keyword Analyzer - 不分词，直接将输入当作输出


轉自：https://blog.csdn.net/WEDUEST/article/details/127819734






GrayLog查询语法

> CentOS 7.0 之后使用 firewalld 代替了 iptables，这里我们如果有两个版本的话就分别设置。


我们可以用这个命令看下已经开放的端口，然后针对的是开放还是关闭。

```
netstat -ntpl
```

![image.png](/static/img/f99e74e79d9f285ed84ad826eae17965.image.webp)

### CentOS7 防火墙(firewalld)开启常见端口命令
> 1、安装Firewall命令：

```
sudo yum install firewalld firewalld-config
```


:::info{title="注"}
查看firewalld狀態
```
sudo systemctl status firewalld
```
如果沒有運行就啟動它並設置為開機自啟
```
sudo systemctl start firewalld
sudo systemctl enable firewalld
```
:::


:::warning{title="注意"}
关闭firewall
```
systemctl stop firewalld.service #停止firewall

systemctl disable firewalld.service #禁止firewall开机启动
```
:::

>2、Firewall开启常见端口命令

```
firewall-cmd --zone=public --add-port=80/tcp --permanent
firewall-cmd --zone=public --add-port=443/tcp --permanent
firewall-cmd --zone=public --add-port=22/tcp --permanent
firewall-cmd --zone=public --add-port=21/tcp --permanent
firewall-cmd --zone=public --add-port=53/udp --permanent
```

- --zone=public 指定了你要更改的防火墙区域。public 通常是默认区域。
- --add-port=8080/tcp 指定了你想开放的端口和协议类型（在这个例子中是 TCP 协议）。
- --permanent 表示这个规则应该永久生效。

>3、Firewall关闭常见端口命令

```
firewall-cmd --zone=public --remove-port=80/tcp --permanent
firewall-cmd --zone=public --remove-port=443/tcp --permanent
firewall-cmd --zone=public --remove-port=22/tcp --permanent
firewall-cmd --zone=public --remove-port=21/tcp --permanent
firewall-cmd --zone=public --remove-port=53/udp --permanent
```
我们也可以批量添加区间端口

```
firewall-cmd --zone=public --add-port=4400-4600/udp --permanent
firewall-cmd --zone=public --add-port=4400-4600/tcp --permanent
```
>4、开启防火墙命令

```
systemctl start firewalld.service
```
>5、重启防火墙命令

```
firewall-cmd --reload 或者 service firewalld restart

```
>6、查看端口列表：

```
firewall-cmd --permanent --list-port
```
>7、禁用防火墙

```
systemctl stop firewalld
```
>8、查看状态

```
systemctl status firewalld或者 firewall-cmd --state
```

### CentOS7 iptables开启常见端口命令

一般CentOS 6 用iptables

>1、查看防火墙状态

```
service iptables status
```
>2、暂时关闭防火墙

```
service iptables stop
```
>3、永久关闭防火墙

```
chkconfig iptables off
```
>4、重启防火墙

```
service iptables restart
```
>5、开放指定端口

```
vi /etc/sysconfig/iptables
```
编辑文件，然后添加。
```
iptables -I INPUT -p tcp --dport 端口号 -j ACCEPT
```

>6、保存配置

```
service iptables save
```

>7、重启防火墙
```
service iptables restart
```

重启才生效。


















Centos 7防火墙开放端口方法

# 查看已安装程序包
```
rpm -qa | grep -i grafana

```

![image.png](/static/img/d4e13457aa0da3c96b777d7fee96f00e.image.webp)


# 卸载
```
yum remove -y grafana-enterprise.x86_64
```

Sidecar 安裝(用於graylog收集日誌)

📚GrayLog查询语言

查看已安装程序包

Sidecar 安裝`(用於graylog收集日誌)`