使用logstash收集syslog日志时，必须使用root用户启动Logstash

logstash是elstic stack套件中负责收据、转换数据用的工具。

logstash其中一项功能是收集syslog日志，syslog的默认端口时514。

可能的配置文件

input {
    syslog {
        port => "514"
    }
 }
output {
    elasticsearch {
         hosts => ["node1:9200"] index => "syslog"
    }
}

而linux安全设置要求，访问1000以下的端口的进程必须由root启动和停止。

如果以普通用户启动的话，会出现syslog listener died的情况。