CentOS下Filebeat如何配置

在 CentOS 下配置 Filebeat 一般分为 安装 → 配置 → 启动 → 验证 几步。下面以 Filebeat 7.x / 8.x 为例，给你一个完整、常用的配置示例（以收集日志并发送到 Elasticsearch 为例）。

一、安装 Filebeat（CentOS 7/8）

1. 使用 RPM 安装（推荐）

# 导入 Elastic GPG 密钥
rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch

# 下载并安装 Filebeat
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.11.0-x86_64.rpm
rpm -ivh filebeat-8.11.0-x86_64.rpm

版本号可根据需要调整

二、Filebeat 配置文件位置

/etc/filebeat/filebeat.yml

三、基础配置示例（收集日志 → Elasticsearch）

1. 编辑配置文件

vim /etc/filebeat/filebeat.yml

2. 最小可用配置示例

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/*.log
      - /var/log/messages

# ================== Elasticsearch 输出 ==================
output.elasticsearch:
  hosts: ["http://localhost:9200"]

# 可选：Kibana 配置
setup.kibana:
  host: "http://localhost:5601"

四、常见配置场景

1️⃣ 收集指定应用日志

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /data/app/logs/*.log
    fields:
      app: myapp
    fields_under_root: true

2️⃣ 输出到 Logstash（常见架构）

output.logstash:
  hosts: ["127.0.0.1:5044"]

3️⃣ 多行日志合并（如 Java 异常）

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/app/app.log
    multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
    multiline.negate: true
    multiline.match: after

五、启动并设置开机自启

# 测试配置是否正确
filebeat test config

# 测试输出是否可达
filebeat test output

# 启动 Filebeat
systemctl start filebeat

# 开机自启
systemctl enable filebeat

# 查看状态
systemctl status filebeat

六、查看 Filebeat 日志

journalctl -u filebeat -f

或：

tail -f /var/log/filebeat/filebeat

七、加载 Kibana 仪表板（可选）

filebeat setup

八、常见问题排查

1. 没有收集到日志

• 路径是否正确
• 文件权限是否可读
• enabled: true 是否设置

2. Elasticsearch 连不上

• 检查 hosts
• 是否需要用户名密码：

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "changeme"

九、典型架构示意

Filebeat → Elasticsearch
Filebeat → Logstash → Elasticsearch → Kibana

如果你愿意，我可以帮你：

• ✅ 写一个 生产级 filebeat.yml
• ✅ 按 Nginx / Java / Docker / Kubernetes 场景配置
• ✅ 排查你当前的 Filebeat 报错

直接把你的 使用场景或报错贴出来 即可。