16年日志老炮儿：单机模式？ELK早该淘汰了！

　　去年十一月的某个周三，我在机房走廊接了个电话，是邻组的运维小杨，他说他负责的那台跑了快四年的ELK集群宕机了，已经耗了快五个小时还没把核心日志捞出来。

　　我赶过去的时候，他蹲在机柜旁边，屏幕上还停在error日志的模糊快照，旁边堆了三瓶空的功能饮料。我蹲下来点了几下鼠标，发现他把索引的分片数设得太死，而且只挂了单节点的冷备，之前他跟我炫耀这是“最简运维架构”，连负载都压不上去。

　　我原以为他只是把配置玩砸了，结果折腾到后半夜才发现，他为了凑“单机模式”的名头，把原本该拆分的日志字段硬塞到了一个索引里，光是一条请求日志就压了上千个冗余字段，磁盘疯涨的速度比他们的业务量还快，最后直接把节点的根分区吃满了。

　　这事儿其实不是第一次见，几个月前在另一个园区的运维组，有个家伙也是死磕ELK的单机模式，最后因为核心服务的日志量翻了两倍，单节点根本扛不住，凌晨三点的告警电话直接把我从被窝里薅起来。

　　可别再被那些“轻量易维护”的话术忽悠了，二十年前我刚入行的时候，用的还是那种把所有日志都堆成单个文件的工具，那时候是没辙，机器性能跟不上，现在呢？你随便找个靠谱的分布式日志方案，它的“优胜劣汰”不是在节点数上做文章，是把存储和查询拆得干干净净，该删的删，该转的转，该分布式调度的绝不让单节点扛。

　　我前阵子帮一个做电商的客户调过方案，他们之前用ELK的单机集群撑着日常访问，大促的时候直接崩了两次，后来换成了另一个架构，单节点只做实时采集和初步过滤，冷日志自动转成对象存储归档，查询的时候直接调分布式的计算节点，连冷节点的日志都能秒搜，运维的工作量还少了一半。

　　说真的，单机模式就像是那种让你背着半人高的登山包爬五十层楼，美其名曰“不用考虑换乘”，可你跑两步就喘，东西撒一地还捡不回来，这跟懒省事的偷懒有什么区别？

　　那天跟小杨聊到天亮，他说他之前看了几篇网上的攻略，把ELK的分布式功能全关了，就为了所谓的“轻量部署”，结果连最基础的日志查询都慢得像蜗牛爬，我指着他那台发烫的服务器说，你这不是轻量，是把所有鸡蛋都塞在一个破筐里，还在筐底钻了个洞。

　　我从业这么多年，见过太多人抱着旧工具死磕，从最开始的syslog到后来的ELK，每次有新东西出来，总有人说“旧的最好用”，可旧的东西能扛住现在的业务量吗？能扛住突发的峰值吗？能在节点挂了之后五秒内切换吗？这些ELK的单机模式都做不到，它的“优点”全是自欺欺人的偷懒。

　　哦对了，上个月跟我师傅碰了个面，他还在国企的运维部，他说他们之前用的ELK集群，为了省运维成本，把冷日志都堆在单节点上，结果去年冬天机房供暖出问题，那台服务器直接冻坏了，半个月的业务日志全丢了，后来换了分布式归档，哪怕有节点出问题，数据都能从冷存储里捞回来，连告警都没再响过。

　　别再迷信什么单机模式了，日志这玩意儿，量越来越大，要求越来越高，你把它攥在一个节点里，就等于把自己的后路堵死了，真到崩的时候，连哭都来不及。

　　我那天给小杨的建议，就是把那个大索引拆成按业务模块分的小索引，冷日志转存到对象存储，然后把他那台服务器的配置降到最低，只做核心的实时采集，剩下的查询和存储交给分布式节点，他一开始还舍不得那台用了好几年的服务器，说它性能够，结果折腾了不到半天，查询速度就提了好几倍，还没再出现过磁盘满的情况。

　　可能有人会说，分布式方案麻烦，运维成本高，可你想想，去年十一月那五个小时的宕机，小杨熬了整整一天，中间还被领导骂了一顿，要是换成分布式架构，顶多就是十分钟的事，你觉得哪个成本高？是花点时间搭节点，还是花好几天救火？

　　我见过太多所谓的“轻量方案”，最后都变成了运维的噩梦，那些把ELK单机模式吹上天的人，要么是没扛过真正的压力，要么就是根本不知道分布式日志方案到底能解决什么问题，他们只看到了ELK的门槛低，却没看到它的短板，更没看到替代方案的优势。

　　行了，说这么多不是要跟ELK过不去，是要跟那种抱着旧模式偷懒的习惯过不去，毕竟我们做运维的，靠的不是抱着旧工具熬日子，是要能扛住业务的变化，能解决真正的问题，别再把时间浪费在那些自欺欺人的“轻量”上了。

文章配图，仅供参考

　　对了，小杨现在已经把他的集群改成分布式了，上周给我发了个截图，说大促的时候没再崩过，还省了不少电费，看来那天的聊天没白熬。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!