Kibana Discover标签页无结果：ELK_twitter示例部署问题

刚接触Elastic Stack遇到这种情况很正常，咱们一步步来定位问题：

1. 先确认Elasticsearch里是否真的有推文数据 #

你已经通过curl -XGET http://localhost:9200/_cat/indices?v | sort看到索引存在了，但得确认索引里有没有实际的文档。执行下面的命令（把twitter-*换成你从索引列表里看到的具体索引名，比如twitter-2024.05.20）：

curl -XGET http://localhost:9200/twitter-*/_count?pretty

如果返回的count是0，说明Logstash没把推文数据传到ES；如果count大于0，那问题大概率出在Kibana的配置上。

2. 检查Kibana索引模式的匹配与配置 #

• 确认你创建的索引模式和ES里的索引名完全匹配：比如ES里的索引是twitter-2024.05.20，那Kibana的索引模式就得设成twitter-*（用通配符覆盖日期后缀），不然Kibana找不到对应索引。
• 重点核对时间字段：创建索引模式时，Kibana会自动识别时间字段，一般是@timestamp。如果选错了字段，或者推文数据里的时间映射有问题，Discover会因为时间过滤规则看不到数据。

3. 调整Kibana Discover的时间范围 #

Discover默认只显示「最近15分钟」的数据，如果你的推文是更早生成的（比如测试时的历史数据），或者Logstash给数据打的时间标签不对，就会出现“无结果”的情况。试试把时间范围改成「今天」或者「全部时间」，再刷新页面看看。

4. 排查Logstash的输出环节 #

终端能显示推文，说明Logstash的Twitter输入是正常的，但输出到ES可能出了问题：

• 打开ELK_twitter里的Logstash配置文件（比如twitter.conf），检查elasticsearch输出块的配置：

  elasticsearch {
    hosts => ["localhost:9200"]
    index => "twitter-%{+YYYY.MM.dd}"
  }
  

  确认ES的地址正确，索引名和你在Kibana里用的模式一致。
• 查看Logstash的日志（路径一般是/var/log/logstash/logstash-plain.log，或者你启动Logstash时指定的日志路径），搜索有没有elasticsearch相关的报错，比如连接失败、权限不足等。

5. 直接查看ES里的文档内容 #

如果前面确认count大于0，还可以直接查看一条文档，确认数据结构是否正常：

curl -XGET http://localhost:9200/twitter-*/_search?size=1&pretty

如果能看到完整的推文数据，那回到Kibana，检查索引模式是否包含了所有字段，或者有没有字段被意外过滤了。

内容的提问来源于stack exchange，提问作者okangela