用 LEK 组合处理 Nginx 访问日志
这篇讲的是作者在使用 Logstash 处理 Tengine/Nginx 通过 syslog 发送的访问日志时，遇到的几个实际性能瓶颈及优化方案。文章首先指出，在高压力下 Logstash 的 Grok 插件容易成为瓶颈，因此作者建议在日志格式可控时，优先考虑用分隔符格式配合 Ruby 脚本或自定义 LogFormat 来替代 Grok 解析。 然而真正的坑在后面：运行后发现日志接收带宽异常低，排查发现是 Logstash 的 syslog input 插件采用了单线程 UDP 监听，导致接收队列（Recv-Q）持续堆积。作者对比了 Fluentd 的异步实现，并考虑到 Logstash 基于 JRuby 的扩展复杂性，最终选择了一个更直接的方案：用 Perl 的高性能 AnyEvent 库重写了一个专门的异步日志收集脚本。这个脚本同样将日志输出为 Elasticsearch 兼容格式，使得原有的 Kibana 仪表盘无需任何改动。最终效果立竿见影，日志接收带宽从瓶颈时的 60 MBps 恢复到了正常的 300 MBps。