Logstash错误:地址已在使用中

Question

我有以下配置

input {
  beats {
    'port' => '5044'
  }
}
output {
  cloudwatch {
    'region'=> 'us-west-2'
  }
}

我在/usr/share/logstash/pipeline/中只有一个配置文件

bash-4.2$ ls /usr/share/logstash/pipeline
logstash.conf

并且只有一个来自ps -ef的Java进程。在容器中运行此程序

bash-4.2$ ps -ef
UID        PID  PPID  C STIME TTY          TIME CMD
logstash     1     0  0 17:33 ?        00:00:00 bash -c echo -e $CONFIG > /usr/share/logstash/pipeline/logstash.conf && /usr/local/bin/docker-entrypoint
logstash     5     1  6 17:33 ?        00:01:00 /bin/java -XX:+UseParNewGC -XX:+UseConcMarkSweepGC -XX:CMSInitiatingOccupancyFraction=75 -XX:+UseCMSInitiatingOccupancyOnly -XX:+DisableExplicitGC -Djava.awt.headl
logstash    62     0  0 17:38 ?        00:00:00 bash
logstash    77    62  0 17:47 ?        00:00:00 ps -ef

但是，logstash会失败并给出

[2017-12-06T07:36:46,505][ERROR][logstash.pipeline ] A plugin had an unrecoverable error. Will restart this plugin.
Plugin: <LogStash::Inputs::Beats port=>9600, id=>"a585f91b9cdadf6400c91b02e2bd3177cf93afd8-1...
Error: event executor terminated

Answer 1

请尝试在日志文件中定义不同的端口号(输入部分)，并将相同的端口号也放入filebeat.yml中。

例如，使用5085而不是5044

Answer 2

您应该使用以下命令终止所有运行Logstash的管道：

p_id=$(lsof -n -i :5044 | awk '{ print $2}')
p_id=$(echo $p_id | awk '{ print $2}') 
kill -9 $p_id 

如果问题仍然存在，请停止并启动与Logstash对话的其他服务，例如Filebeat。

Answer 3

出现此问题的原因是，在当前文件所在的同一文件夹中创建了"logstash.conf“备份文件。确保在对"logstash.conf“文件进行任何更改后，如果备份文件存在于当前文件的同一目录中，请先删除该文件，或者将该文件复制到其他位置

​

​