Graylog 7.2 介绍与选型指南

一、信息基准

官方来源清单：

二、软件概述

本文介绍的是 Graylog 7.2（当前官方最新稳定版 7.2.0，2026-10-12 发布）。Graylog 是一个集中式日志管理平台（官方定位 Centralized Log Management，CLM），提供日志采集、解析、存储、搜索、仪表板与告警能力，并在此基础上区分发行形态：Graylog Open 为免费的开放源码可用版本（无每日摄取量上限、无容量限制），Graylog Enterprise 与 Graylog Security 为商业版本，分别增加数据湖、归档、审计日志等企业能力与 SIEM 能力。

按官方定价页说明：Graylog Open 永久免费、不是试用版、没有任何摄取量或容量限制，但功能集窄于商业许可版本。版本节奏方面，Graylog 当前维护 7.0/7.1/7.2 三条版本线，2026-10-07 同日发布 7.1.10 与 7.0.14，2026-10-12 发布 7.2.0，维护活跃。与早期版本相比，7.x 时代的安装形态已将搜索后端封装为官方 Graylog Data Node 组件（其内部管理 OpenSearch 集群），官方安装指南明确推荐通过 Data Node 而非直接自管 OpenSearch 完成部署。

三、核心架构

1. Graylog 三组件栈：官方文档将 Graylog 栈描述为三个服务——MongoDB（元数据数据库）、Graylog Data Node（日志摄取、处理与索引的编排组件，内部管理 OpenSearch 存储与查询）与 Graylog 服务本体（采集接入、处理规则、告警与 Web 界面）。
2. 部署拓扑：官方提供单节点 Core 集群（Graylog 与 MongoDB 同节点，Data Node 独立节点）与多节点集群两种模式；Core 架构要求 Graylog 与 MongoDB 安装在同一节点。
3. 配置与密钥：Data Node 与 Graylog 共享同一个 password_secret（用于加密系统敏感数据）；Data Node 堆内存建议设为系统内存一半、上限 31 GB（如 16 GB 内存设 opensearch_heap = 8g）。
4. 数据流：外部日志经各类 Input 接入后由流水线处理，写入 Data Node 管理的索引存储，用户通过 Web 界面/API 进行搜索、仪表板与告警操作。
5. 版本矩阵：MongoDB 与各组件版本需遵循官方 Compatibility Matrix（安装文档示例采用 MongoDB 8.0）。

四、功能特性

依据官方文档与产品页：

1. 集中日志管理核心能力（Graylog Open）：日志采集接入、集中存储、全文搜索与仪表板；官方将 Open 版定位为集中式日志管理平台。
2. 免费无容量限制：官方明确 Open 版无每日摄取上限、无任何容量限制，适合作为开箱即用的自托管日志底座。
3. Data Node 托管搜索后端：7.x 起官方推荐以 Data Node 托管 OpenSearch，简化证书、节点与索引生命周期管理。
4. 企业能力（Graylog Enterprise，商业版）：内置数据湖（data lake）、并行归档恢复（parallel archive restore）、动态分片 sizing、Azure Blob 存储支持、归档（Archiving）、用户审计日志（user audit logs）与 24/7 企业支持，按价值计费。
5. 安全能力（Graylog Security，商业版）：SIEM 能力，包括事件与资产风险评分、自动化调查创建、异常检测、合规包（GDPR、HIPAA）与预置威胁检测内容。
6. 多节点扩展：官方文档提供多节点集群安装指引，支持水平扩展的采集与存储层。

五、快速上手

以下步骤引自官方"Ubuntu Installation: Single Graylog Node"（https://go2docs.graylog.org/current/downloading_and_installing_graylog/ubuntu_installation.htm ，适用于 Ubuntu 22.04/24.04，本文仅整理官方示例，未做本地实测）。官方前提：放行所需端口（示例假设防火墙关闭）；Stack 由 MongoDB、Graylog Data Node 与 Graylog 三个服务组成；官方警告走 Data Node 方案时不要另行安装 OpenSearch。

安装 MongoDB（官方示例采用 8.0）：

sudo apt-get install gnupg curl
curl -fsSL https://www.mongodb.org/static/pgp/server-8.0.asc | \
 sudo gpg -o /usr/share/keyrings/mongodb-server-8.0.gpg --dearmor
echo "deb [ arch=amd64,arm64 signed-by=/usr/share/keyrings/mongodb-server-8.0.gpg ] https://repo.mongodb.org/apt/ubuntu noble/mongodb-org/8.0 multiverse" | sudo tee /etc/apt/sources.list.d/mongodb-org-8.0.list
sudo apt-get update && sudo apt-get install -y mongodb-org
sudo systemctl enable mongod.service && sudo systemctl start mongod.service

MongoDB 默认仅监听本机，需按官方指引修改 /etc/mongod.conf 的 bindIp 或 bindIpAll。安装 Data Node（官方仓库包示例）：

wget https://packages.graylog2.org/repo/packages/graylog-7.1-repository_latest.deb
sudo dpkg -i graylog-7.1-repository_latest.deb
sudo apt-get update && sudo apt-get install graylog-datanode

按官方要求将 vm.max_map_count 调至至少 262144，生成并配置 password_secret（openssl rand -hex 32），在 /etc/graylog/datanode/datanode.conf 中设置 mongodb_uri（如 mongodb://graylog01:27017/graylog）与堆内存（如 opensearch_heap = 8g），随后启动 graylog-datanode 服务。最后在同一 Graylog/MongoDB 节点安装服务本体：

sudo apt-get install graylog-server

按官方文档在 /etc/graylog/server/server.conf 写入与 Data Node 相同的 password_secret 等配置后启动服务，通过 Web 界面（默认 9000 端口）完成初始化即可接入日志源。

六、适用场景与限制

适用场景：

1. 中小规模自托管集中日志平台：Open 版免费无容量限制，开箱即用界面友好。
2. 混合日志源统一接入：系统日志、应用日志等多源集中检索与仪表板分析。
3. 需要商业支持与合规能力升级的团队：可平滑升级 Enterprise（归档、审计、数据湖）或 Security（SIEM）。
4. 已有 MongoDB 与虚拟化/物理服务器资源、希望避免自研搜索运维的团队：Data Node 封装了搜索后端。

限制与注意：

1. 许可注意：Graylog Open 为 SSPL（source-available）而非 OSI 认证开源许可，二次分发或对外提供服务前需确认条款边界。
2. 资源开销：三组件栈（含 JVM 系搜索后端）资源需求显著高于轻量方案，Data Node 堆内存建议为系统内存一半（上限 31 GB）。
3. 商业能力边界：数据湖、归档、审计日志、动态分片等仅在付费版本提供，规划免费版容量策略时需自行设计索引生命周期。
4. 版本升级跨度：7.x 各版本线并行，升级时需遵循官方 Compatibility Matrix 与逐版本升级路径。

七、同类选型对比

对比对象：ELK（Elasticsearch）、OpenSearch、Loki。数据查询日期 2026-10-19，来源见括号内标注；查不到的维度如实标注。

选型建议：要开箱即用的集中日志管理界面与告警、且愿意接受 SSPL 条款选 Graylog Open；已深度使用 Elastic 栈或需要通用搜索分析能力选 Elasticsearch；追求 OSI 认证开源许可的搜索引擎底座选 OpenSearch；面向云原生与以低成本长期存日志、配合 Grafana 查询的选 Loki。

八、参考链接

1. 官方文档总入口：https://go2docs.graylog.org/
2. Ubuntu 单节点安装指南：https://go2docs.graylog.org/current/downloading_and_installing_graylog/ubuntu_installation.htm
3. 官方定价与版本对比：https://www.graylog.org/pricing/
4. Graylog Open 产品页：https://graylog.org/products/source-available/
5. GitHub Releases：https://github.com/Graylog2/graylog2-server/releases
6. GitHub 仓库：https://github.com/Graylog2/graylog2-server