最近有人問到 elasticsearch 備分還原的問題

做個記錄

由於 elasticsearch 安裝完成後預設只能本几連線

所以
/etc/elasticsearch/elasticsearch.yml
最後加上
network.host: 0.0.0.0
允許本几以外的連線

請注意安全問題
加完後elasticsearch要重啟才會生效


接下來在目的机上停止 graylog

systemctl stop graylog-server

查看目的几及來源几上的 indeces

curl -XGET 'http://localhost:9200/_cat/indices'


依需求在目的几上建立indeces 

名稱必須跟來源的 indices 一樣

curl -X PUT "localhost:9200/graylog_514?pretty"


加完後就可以使用 esm 直接複制 indices  順序從小到大

./esm -s http://10.0.0.247:9200 -d http://10.0.0.234:9200 -x graylog_514 -y graylog_514



如果想要備份後再還原 則使用以下指令

備份
./esm -s http://10.0.0.247:9200 -x graylog_455 -o dump.json


還原
./esm -i dump.json -d http://10.0.0.234:9200 -y graylog_455


處理完成後 start graylog

systemctl start graylog-server

要 recalculate index ranges

Indices & Index Sets - Default index set - recalculate index ranges


以上的做法不會更動原資料的時間序


https://github.com/medcl/esm

https://elasticsearch.cn/article/13773

https://community.graylog.org/t/after-data-recovery-not-seeing-data-in-search/13423