2026 Loki 日志聚合系统：Docker 部署构建轻量级日志中心

你有没有试过这种场景：服务器半夜挂了，你想查日志看原因，结果 journalctl 刷了几千行——不知道从哪里看起。想搜个关键词，grep 半天没结果，日志文件还轮转了好几次，根本找不到出事那一刻的记录。

Loki 就是来解决这个问题的。它是 Grafana Labs 用 Go 开发的日志聚合系统，灵感来自 Prometheus，但专门为日志设计。跟 ELK（Elasticsearch + Logstash + Kibana）那种重量级方案不同，Loki 的理念是 只索引元数据，不索引日志内容——这使它极其轻量、省资源。

更重要的是，Loki 跟 Prometheus、Grafana 天然是一家。指标出问题 → 点一下跳到对应时间段的日志 → 定位根因，这种联动操作在 Grafana 里一键完成。

一、Loki 架构与核心组件#

组件一览#

组件	作用	Docker 镜像
Loki	日志存储与查询引擎	`grafana/loki`
Promtail	日志采集与推送（类似 Logstash）	`grafana/promtail`
Grafana	日志查询与可视化	`grafana/grafana`

工作流程#

日志文件 → Promtail 采集 → Loki 存储 → Grafana 查询

Promtail 在每台需要采集日志的服务器上运行，读取日志文件后打上标签（如 job=nginx、host=web01），推送到 Loki。Loki 只索引这些标签，日志内容以压缩块存储。查询时通过标签先缩小范围，再扫描日志内容。

跟 ELK 对比#

对比项	Loki	ELK (Elasticsearch + Logstash + Kibana)
语言	Go ✅ Go	Java 🐘
索引策略	仅索引标签（Label）	全文索引
资源占用	极低（~50MB）	高（ES 至少 2GB+）
Docker 镜像大小	~50MB	~800MB+
查询语言	LogQL（类 PromQL）	DSL（JSON 查询）
Grafana 原生集成	✅ 原生	需额外配置
全文搜索	支持但较慢（扫描模式）	极快
适用场景	自建监控、小规模日志	企业级大数据日志分析
运维复杂度	低	高

结论： 个人博客、小团队 VPS 集群这些场景，Loki 比 ELK 友好太多了。一个 1 核 2G 的服务器就能跑整套 Loki + Prometheus + Grafana，换成 ELK 连 Elasticsearch 都启动不起来。

二、Docker Compose 一键部署#

把 Loki 加入我们已有的监控栈中：

docker-compose.yml#

1
version: '3.8'
2

3
services:
4
  loki:
5
    image: grafana/loki:latest
6
    container_name: loki
7
    restart: unless-stopped
8
    ports:
9
      - "3100:3100"
10
    volumes:
11
      - ./loki:/etc/loki
12
      - loki_data:/loki
13
    command:
14
      - '-config.file=/etc/loki/loki-config.yml'
15

16
  promtail:
17
    image: grafana/promtail:latest
18
    container_name: promtail
19
    restart: unless-stopped
20
    ports:
21
      - "9080:9080"
22
    volumes:
23
      - /var/log:/var/log:ro
24
      - /var/lib/docker/containers:/var/lib/docker/containers:ro
25
      - ./promtail:/etc/promtail
26
    command:
27
      - '-config.file=/etc/promtail/promtail-config.yml'
28
    depends_on:
29
      - loki
30

31
  prometheus:
32
    image: prom/prometheus:latest
33
    container_name: prometheus
34
    restart: unless-stopped
35
    ports:
36
      - "9090:9090"
37
    volumes:
38
      - ./prometheus:/etc/prometheus
39
      - prometheus_data:/prometheus
40

41
  grafana:
42
    image: grafana/grafana:latest
43
    container_name: grafana
44
    restart: unless-stopped
45
    ports:
46
      - "3000:3000"
47
    volumes:
48
      - grafana_data:/var/lib/grafana
49
    environment:
50
      - GF_SECURITY_ADMIN_PASSWORD=admin123
51
    depends_on:
52
      - loki
53
      - prometheus
54

55
volumes:
56
  loki_data:
57
  prometheus_data:
58
  grafana_data:

Loki 配置文件#

loki/loki-config.yml：

1
auth_enabled: false
2

3
server:
4
  http_listen_port: 3100
5

6
common:
7
  path_prefix: /loki
8
  ring:
9
    kvstore:
10
      store: inmemory
11
  replication_factor: 1
12

13
schema_config:
14
  configs:
15
    - from: 2024-01-01
16
      store: boltdb-shipper
17
      object_store: filesystem
18
      schema: v11
19
      index:
20
        prefix: index_
21
        period: 24h
22

23
storage_config:
24
  boltdb_shipper:
25
    active_index_directory: /loki/index
26
    cache_location: /loki/index_cache
27
    shared_store: filesystem
28
  filesystem:
29
    directory: /loki/chunks
30

31
limits_config:
32
  ingestion_rate_mb: 10
33
  ingestion_burst_size_mb: 20

Promtail 配置文件#

promtail/promtail-config.yml：

1
server:
2
  http_listen_port: 9080
3

4
positions:
5
  filename: /tmp/positions.yaml
6

7
clients:
8
  - url: http://loki:3100/loki/api/v1/push
9

10
scrape_configs:
11
  # 系统日志
12
  - job_name: syslog
13
    static_configs:
14
      - targets: [localhost]
15
        labels:
16
          job: varlogs
17
          host: vps1
18
          __path__: /var/log/*.log
19

20
  # Docker 容器日志
21
  - job_name: docker
22
    pipeline_stages:
23
      - docker:
24
    static_configs:
25
      - targets: [localhost]
26
        labels:
27
          job: docker
28
          host: vps1
29
          __path__: /var/lib/docker/containers/*/*-json.log

启动#

1
# 创建配置目录
2
mkdir -p loki promtail prometheus<br />
3

4
# 启动所有服务
5
docker compose up -d
6

7
# 检查运行状态
8
docker compose ps

访问 http://你的IP:3100/ready，如果返回 Ready 说明 Loki 正常运行。然后打开 Grafana http://你的IP:3000，添加 Loki 数据源：

左侧齿轮 → Data Sources → Add data source
选择 Loki
URL 填 http://loki:3100
Save & Test

三、LogQL 查询技巧#

LogQL 是 Loki 的查询语言，跟 PromQL 语法非常相似。

基础查询#

1
# 查看所有日志
2
{job="varlogs"}
3

4
# 只看某个主机的日志
5
{host="vps1"}
6

7
# 组合标签过滤
8
{job="docker", host="vps1"}

关键词搜索#

1
# 搜索包含 error 的日志
2
{job="varlogs"} |= "error"
3

4
# 不包含某个词
5
{job="varlogs"} != "debug"
6

7
# 正则匹配
8
{job="varlogs"} |~ "(error|panic|fatal)"
9

10
# 正则排除
11
{job="varlogs"} !~ "health|keepalive"

统计与分析#

1
# 统计每小时的错误数量
2
sum by (host) (count_over_time({job="varlogs"} |= "error" [1h]))
3

4
# 查看 Top 5 日志来源
5
topk(5, count by (host) ({job="docker"} |= "error"))
6

7
# 计算日志增长率
8
rate({job="varlogs"} |= "error" [5m])

实用查询模板#

你要查什么	LogQL 查询
最近 5 分钟的错误	`{job=“varlogs”}
Nginx 404 请求	`{job=“varlogs”}
Docker 容器崩溃	`{job=“docker”}
SSH 登录失败	`{job=“varlogs”}
OOM Killer	`{job=“varlogs”}
特定时间范围	在 Grafana 里选择时间范围即可

四、Grafana 日志联动#

从指标跳转到日志#

这是 Loki + Prometheus + Grafana 组合拳的精髓：

在 Grafana 的 Prometheus 仪表盘上看到 CPU 飙高
点击图表 → Explore → 自动切换到日志视图
选择 Loki 数据源 → 自动带上当前时间范围
搜 error 或 panic → 立刻看到异常时刻的日志

关联标签是关键——Prometheus 和 Loki 共用相同的标签命名规范（如 job、instance、host），这样才能实现无缝跳转。

设置日志面板#

在 Dashboard 中添加 Logs Panel：

新建 Panel
数据源选 Loki
查询：{job="varlogs"} |= "$search"
右侧 Visualization 选 Logs
设置刷新间隔 10s

这样你的监控仪表盘上就有实时日志流了。

五、常见问题 FAQ#

Q1：Loki 的日志会占用多少磁盘空间？#

相比 ELK 少得多。Loki 默认使用 gzip 压缩日志块，压缩率通常在 5:1 到 10:1 之间。一个每天产生 1GB 日志的服务器，Loki 存下来大概 100-200MB。

Q2：Promtail 采集不到日志怎么办？#

常见排查步骤：

检查 Promtail 启动日志：docker logs promtail | tail -20
确认路径权限：Promtail 容器需要能读取 /var/log/*.log
检查 Loki 是否就绪：curl http://localhost:3100/ready
在 Promtail 配置里调高日志级别加 -log.level=debug

Q3：Loki 可以做全文搜索吗？#

可以但不建议。 Loki 的全文搜索是通过扫描压缩块实现的，小范围搜索（如最近 1 小时的日志）很快，但跨天搜索就很慢了。如果需要快速全文搜索，可以考虑 Loki 的倒排索引模式或直接上 ELK。

Q4：1 核 2G VPS 跑 four 组件（Loki + Promtail + Prometheus + Grafana）会不会卡？#

实测没问题。这四兄弟加起来大概 300-400MB 内存，CPU 占用很轻。Loki 本身约 50MB，Prometheus 约 200MB，Grafana 约 100MB，Promtail 约 30MB。

1
# 来看实际内存占用
2
docker stats --no-stream

Q5：日志保留多久？怎么清理？#

Loki 默认不自动清理日志。你可以在配置里添加保留策略：

1
limits_config:
2
  retention_period: 720h  # 30 天
3
  retention_size: 50GB    # 总量上限

也可以通过 table_manager 按时间删除旧表：

1
table_manager:
2
  retention_deletes_enabled: true
3
  retention_period: 720h

Q6：Loki 支持哪些日志来源？#

来源	采集方式
系统日志	Promtail 直接采集
Docker 容器日志	Promtail 采集 Docker JSON 日志
Nginx/Apache 日志	Promtail 配置对应路径
应用日志	应用直接推送或写文件由 Promtail 采集
Journald	Promtail journald 采集器
其他服务器	每台机器部署一个 Promtail

六、总结：你的完整可观测体系#

到此为止，三篇文章搭建了一套完整的可观测性平台：

项目	用途	文章
Prometheus	指标采集与告警	Prometheus 部署教程
Grafana	可视化仪表盘	Grafana 部署教程
Loki	日志聚合与分析	本文

这一套组合在 1 核 2G 的 VPS 上就能完整运行，费用就是 VPS 本身的月租，没有任何额外的 SaaS 订阅费。

指标异常 → 查日志定位 → 修复上线——这个运维闭环，现在只需要一个浏览器窗口就能完成。需要一个浏览器窗口就能完成。

音乐

广告