前记：
去年测试了ELK，今年测试了Storm，最终因为Storm需要过多开发介入而放弃，选择了ELK。感谢互联网上各路大神，目前总算是正常运行了。
logstash+elasticsearch+kibana的搭建参考：http://wsgzao.github.io/post/elk/。由于搭建过程比较简单就不赘述，主要分享几个坑。
正文：
1、日志如何获取
无论是storm方案还是elk，都涉及这个关键问题。为减少和运维、开发的交叉，尽可能独立、快速，加之当时发现了justniffer这个“神器”，遂决定采用交换机流量镜像的方式。
但是在经历了申请机器、增加网卡之后，痛苦的发现存在掉包问题。一旦流量超过30--40M狂掉包，就别提TCP流还原了。justniffer是调用修改过的libnids，而libnids调用libpacap。因此转向libpcap优化。
看了很多国内外的论文和研究文档，使用pf-ring会有大幅改善掉包情况。在同事协助下经历了N次的源码调试后，无奈的发现：即使启用了pf-ring，掉包情况依然。可能是网卡太差了。。。
询问了青藤云安全的大牛，他们的包捕获与流还原技术不卖- -|
由于涉及justniffer、libpacap、pf_ring的版本对应问题、网卡驱动和源码调试，上述过程耗时其实非常长，最终的结果让人心碎，自己能力不够啊
无奈放弃流量镜像，转而采用在应用服务器上安装客户端的做法。如果有童鞋有好的方案，希望能分享，谢谢！
2、缺乏访问权限控制
由于kibana默认没有设置访问权限控制，因此，直接访问url即可访问。同时elasticsearch也缺乏权限控制，提交相关请求即可查看索引、模板，删除索引。 所以需要设置权限保护，分2个层面：
1）阻止未授权的用户对ELK平台的访问
2）为用户设置的index访问权限
详情参考：http://eligao.com/shield-on-elasticsearch/
3、无法搜索特殊字符
由于混杂了kibana、elasticsearch、lunece，导致这个问题比较复杂。谷歌之可以发现，很多内容都是提到：在kibana中搜索时，搜索特殊符号需要使用转义符号转义。但是问题是方法无效！！！
幸得搜索同事指导，加上自己学习，基本搞清楚情况:
1）Kibana的搜索完全是传递给Elasticsearch处理的，因此问题出在Elasticsearch；
2）在创建索引的时候，Elasticsearch默认的索引模板使用了默认的分析器（analyzer）standard对logstash提交的数据进行分析。，而standard默认的分词器（tokenizer）是会剔除特殊字符。也就是说，特殊字符在建立索引的过程中就被剔除了，因此即使使用转义符号也无法搜索特殊字符；相关概念解释见文末说明。
解决方法：
1）定制分析器
官方文档参考：https://www.elastic.co/guide/en/elasticsearch/reference/current/analysis-custom-analyzer.html。
借助Elasticsearch提供的nGram分词器，定制了一个单字符分析器。
官网的做法是通过API提交。我偷个懒，直接修改了Elasticsearch的配置文件elasticsearch.yml，在最后增加：
index:
analysis:
tokenizer:
my_ngram_tokenizer:
type: nGram
min_gram : 1
max_gram : 1
token_chars : []
analyzer:
special_analyzer:
type: custom
filter: [lowercase]
tokenizer: my_ngram_tokenizer
修改后，需要重启Elasticsearch
2）修改默认模板
（不推荐新增索引模板，使用非logstash开头的索引模板会导致raw字段丢失。如果已经遇到这个问题，参考https://bbrauns1.wordpress.com/2015/06/04/missing-raw-fields-in-logstashkibana-after-new-index-creation/）
注意，通过http://localhost:9200/_template/logstash?pretty获取的索引模板和我们需要改的索引模板稍有不同，去掉 "logstash" : {及倒数第二个}保存成logstash.json
修改上面获得的模板，主要是修改dynamic_templates部分，默认的模板是将所有string类型字段内容进行分析和索引，使用的是默认的standard分析器。同时对raw字段不分词（如cookie.raw等，是logstash自动生成的）
参考官方文档：https://www.elastic.co/guide/en/elasticsearch/guide/current/custom-dynamic-mapping.html
"mappings" : {
"_default_" : {
"dynamic_templates" : [ {
"string_fields" : {
"mapping" : {
"index" : "analyzed",
"omit_norms" : true,
"type" : "string",
"fields" : {
"raw" : {
"index" : "not_analyzed",
"ignore_above" : 256,
"type" : "string"
}
}
},
"match" : "*",
"match_mapping_type" : "string"
}
}
因此，我们需要增加指定特定字段，比如：
{
"request" : {
"mapping" : {
"index" : "analyzed",
"analyzer" : "special_analyzer",
"type" : "string",
"fields" : {
"raw" : {
"index" : "not_analyzed",
"ignore_above" : 256,
"type" : "string"
}
}
},
"match" : "request",
"match_mapping_type" : "string"
}
},
代表我们对request字段内容使用special_analyzer进行分析，同时保留对raw不分析。如果缺少二次映射，则无法获取raw字段，则会对visualize造成影响。
如果不需要对相关字段进行是分词，则如此配置：
{
"cookie" : {
"mapping" : {
"index" : "not_analyzed",
"type" : "string",
"fields" : {
"raw" : {
"index" : "not_analyzed",
"ignore_above" : 256,
"type" : "string"
}
}
},
"match" : "cookie",
"match_mapping_type" : "string"
}
},
3）提交索引模板：
cd /path/to/logstash.json
curl -u user -XPUT localhost:9200/_template/logstash -d @logstash.json
成功后，会返回：{"acknowledged":true}
4）删除索引，索引模板
查看现有的所有索引：http://localhost:9200/_cat/indices?v
删除所有索引：curl -u user -XDELETE localhost:9200/index
通过kibana的设置功能，删除之前建立的index pattern
5）重新添加index pattern
注：配合kibana的搜索语法，使用双引号""搜索完全匹配，即可解决搜索特殊字符的问题。如果不带双引号，则会搜索字符串中的每个字符。
4、logstash无法启动，提示bind address
原因：
1）配置目录下存在多个配置文件，而logstash会加载所有conf格式的文件
解决方案：删除不必要的文件，保留一个conf文件即可
2）进程未结束
解决方案：kill -9 pid 强制结束进程，再启动服务即可
5、字段无法解析 _grokparsefailure
kibana无法解析出相应的字段
原因：正则存在问题或者日志不符合正则格式
解决方案：在http://grokdebug.herokuapp.com/上调试正则，同时确保日志中不存在多余空格等异常
还有一种常见原因：空格、空格、空格，重要的事情说三遍！
6、日志量大，磁盘紧张
日志量增加非常快，磁盘空间不够用怎么办？可以通过删除较早的索引来缓解
因此，logstash的配置文件中最好早设置索引带有时间后缀：如logstash-%{+YYYY.MM.dd}"
说明：
分析器相关概念：全文搜索引擎会用某种算法对要建索引的文档进行分析， 从文档中提取出若干Token(词元)， 这些算法称为Tokenizer(分词器)， 这些Token会被进一步处理， 比如转成小写等， 这些处理算法被称为Token Filter(词元处理器), 被处理后的结果被称为Term(词)， 文档中包含了几个这样的Term被称为Frequency(词频)。 引擎会建立Term和原文档的Inverted Index(倒排索引)， 这样就能根据Term很快到找到源文档了。 文本被Tokenizer处理前可能要做一些预处理， 比如去掉里面的HTML标记， 这些处理的算法被称为Character Filter(字符过滤器)， 这整个的分析算法被称为Analyzer(分析器)。
详情请参考：http://www.cnblogs.com/buzzlight/p/elasticsearch_analysis.html
后记：
不敢想象如果没有google，上面的问题还能不能解决，还要多花多少时间。