使用logstash收集syslog日志时，必须使用root用户启动Logstash

logstash是elstic stack套件中负责收据、转换数据用的工具。

logstash其中一项功能是收集syslog日志，syslog的默认端口时514。

可能的配置文件

input {
    syslog {
        port => "514" 
    }
 } 
output {
    elasticsearch {
         hosts => ["node1:9200"] index => "syslog" 
    }
}        

 

而linux安全设置要求，访问1000以下的端口的进程必须由root启动和停止。

如果以普通用户启动的话，会出现syslog listener died的情况。

 

贝塔斯博客

 

具体可参考：https://blog.csdn.net/chengyuqiang/article/details/80090810