查看elk数据发现这两天没数据，查看了业务以后确定是elk采集出现了问题，经过查找logstash日志发现了有这个报错，如下： Could not index event to Elasticsearch. {:status=>400

1.前期准备：如果是es非root用户启动es，可以把*改成非root用户，例如 es soft nofile 65535修改 /etc/security/limits.conf 在文件末尾中增加下面内容# 每个进程可以打开的文件数的限制*