Grafana无法可视化syslog日志及设置仪表盘自动刷新问题咨询

• 第一步先确认Elasticsearch是否有新数据写入，执行如下命令查询索引最新文档：
  curl -X GET "localhost:9200/logstash_index/_search?sort=@timestamp:desc&size=1&pretty"
  查看返回结果里的@timestamp字段是否为最新时间，若返回结果没有最近的日志，问题出在Logstash到ES的链路：
  • 查看Logstash运行日志，排查是否存在ES连接报错、写入权限错误、索引冲突、磁盘满导致索引只读的问题
  • 重点排查时间戳匹配问题：你当前的Logstash配置只解析了timestamp字段，没有同步到ES默认的@timestamp字段，大概率出现时区偏差（比如东八区差8小时），导致日志写入后时间落在Grafana默认查询的时间范围外，需要在Logstash的filter块添加时间转换配置，将自定义的timestamp同步到@timestamp并修正时区
• 若ES中存在最新日志，问题出在Grafana侧：
  • 进入Grafana数据源配置页，测试Elasticsearch数据源连接是否正常
  • 检查仪表盘的查询语句是否新增了过滤规则，拦截了最新日志
  • 确认仪表盘右上角的时间选择器没有锁定历史时间区间，排查是否误选了固定的历史时间范围

Grafana默认最小刷新间隔为5秒，要实现1秒甚至更短的刷新间隔，需要修改Grafana核心配置：

• 打开Grafana配置文件：Linux系统默认路径为/etc/grafana/grafana.ini，Windows系统默认路径为安装目录/conf/custom.ini
• 查找min_refresh_interval配置项，删除行首的注释符;，将默认值5s修改为你需要的间隔，支持秒级和毫秒级，比如1s、500ms
• 保存配置后重启Grafana服务：Linux执行systemctl restart grafana-server，Windows在服务管理器中重启Grafana服务
• 重启完成后进入仪表盘，刷新间隔下拉菜单会新增1秒选项，也可以手动输入自定义的更短间隔

内容的提问来源于stack exchange，提问作者Nayden Van