• 創建阿里云Elasticsearch實例，具體操作請參見創建阿里云Elasticsearch實例。本文以Elasticsearch 8.5版本為例。

• 創建ECS實例，且該ECS實例與Elasticsearch實例處于同一專有網絡下。具體操作請參見自定義購買實例。

  說明

  ECS實例作為源端服務器，Elastic Agent會采集ECS實例上的NetFlow數據。

步驟一：創建代理策略

1. 登錄Kibana控制臺。具體操作，請參見登錄Kibana控制臺。

2. 單擊 > Management > Fleet。

3. 在Fleet頁面，單擊代理策略頁簽。

4. 單擊創建代理策略，在創建代理策略控制面板中配置代理策略。

   1. 輸入代理策略名稱netflow-log。

   2. 取消選中收集系統日志和指標。

   3. 單擊高級選項，在代理監測區域，取消選擇中收集代理日志和收集代理指標。

      
      說明

      本場景僅采集NetFlow Records日志，因此取消選中收集系統日志和指標和代理的自身數據。

5. 配置完成后，在頁面右下角單擊創建代理策略。

步驟二：創建Fleet Server集成

1. 在Fleet頁面的代理策略頁簽，單擊創建的代理策略netflow-log。

2. 在集成頁簽中，單擊添加集成。

3. 在瀏覽集成頁簽，在搜索框中搜索Fleet Server，并單擊Fleet Server。

4. 安裝Fleet Server集成。

   1. 在Fleet Server頁面，單擊設置頁簽。

   2. 單擊安裝Fleet Server資產，在彈出的對話框中單擊安裝Fleet Server。

      說明

      安裝集成后，設置頁簽會顯示集成的版本。

5. 在頁面右上角，單擊添加Fleet Server。

6. 在添加Fleet Server集成頁面，輸入集成名稱，選擇代理策略為netflow-log。

7. 在頁面右下角，單擊保存并繼續，在彈出的對話框中單擊稍后添加Elastic代理。

步驟三：創建NetFlow集成

1. 在代理策略netflow-log的集成頁簽中，單擊添加集成。

2. 在瀏覽集成頁簽，在搜索框中搜索NetFlow Records，并單擊NetFlow Records。

3. 安裝NetFlow Records集成。

   1. 在NetFlow Records頁面，單擊設置頁簽。

   2. 單擊安裝NetFlow Records資產，在彈出的對話框中單擊安裝NetFlow Records。

      說明

      安裝集成后，設置頁簽會顯示集成的版本。

4. 在頁面的右上角，單擊添加NetFlow Records。

5. 在添加NetFlow Records集成頁面，配置集成。

   1. 在集成配置區域，輸入集成名稱netflow-1。

   2. 單擊Collect NetFlow logs后面的更改默認值，輸入UDP監聽地址為0.0.0.0，UDP端口保持默認的2055。

      

   3. 在要將此集成添加到什么位置區域，在Existing hosts頁簽下，選擇代理策略為netflow-log。

6. 配置完成后，在頁面右下角單擊保存并繼續，在彈出的對話框中單擊稍后添加Elastic代理。

步驟一：設置Fleet服務器主機

1. 登錄Kibana控制臺。具體操作，請參見登錄Kibana控制臺。

2. 單擊 > Management > Fleet。

3. 在Fleet頁面，單擊設置頁簽，配置Fleet。

   1. 在Fleet服務器主機區域，單擊編輯主機。

   2. 在Fleet服務器主機控制面板中，輸入源端的私網地址，格式為https://<私網IP>:<端口>，例如https://172.16.*.***:8220。

      說明

      本文私網IP為ECS實例的主私網IP。更多配置信息，請參見Fleet Server hosts。

   3. 在輸出區域，在操作列單擊。

   4. 在編輯輸出控制面板中，輸入Elasticsearch實例的私網地址，格式為http://<私網地址>:<端口>，例如http://es-cn-uqm3auln80001****.elasticsearch.aliyuncs.com:9200。

   5. 單擊保存并應用設置，在彈出的對話框中單擊保存并部署。

步驟二：添加Elastic Agent

為Fleet Server添加一個Elastic Agent。

1. 單擊 > Management > Fleet。

2. 單擊代理策略頁簽。

3. 在代理策略netflow-log的操作列，選擇 > 添加代理。

4. 在添加代理控制面板，在為Fleet服務器選擇策略區域，默認選擇代理策略為netflow-log。

5. 在為安全選擇部署模式區域，默認選中快速啟動。

6. 在添加您的Fleet服務器主機區域，單擊右側的添加主機。

7. 在生成服務令牌區域，單擊生成服務令牌。

8. 在將Fleet服務器安裝到集中式主機區域，復制自動生成的代碼塊，并將代碼在ECS實例中執行。

   

   代碼執行完畢后，如果看到Successfully 字樣，表明ECS服務器上成功安裝并啟動Elastic Agent。

步驟三：配置NetFlow服務

本文使用softflowd生成Netflow日志，在ECS實例中執行以下代碼啟動softflowd。

1. 下載softflowd源碼包。

   wget https://storage.googleapis.com/google-code-archive-downloads/v2/code.google.com/softflowd/softflowd-0.9.9.tar.gz

2. 安裝libpcap-devel環境。

   yum install libpcap-devel

3. 編譯并安裝softflowd。

   tar -xvf softflowd-0.9.9.tar.gz
   cd softflowd-0.9.9
   ./configure 
   make
   make install

4. 運行softflowd。

   nohup softflowd -v 9 -D -i eth0 -t maxlife=1 -n localhost:2055 >/dev/null 2>&1 &