CentOS中Filebeat日志收集优化策略
filestream输入类型：在Filebeat 7.0及以上版本，优先选择filestream输入（替代老旧的log输入），其采用更高效的内存映射机制，减少磁盘I/O开销，提升大文件处理性能。harvester参数：调整max_file_size（单个文件最大大小，如100MB）和scan_frequency（文件扫描间隔，如10s），避免因频繁扫描或处理超大文件导致CPU占用过高；通过harvester_limit限制并发harvester数量（如1000），防止过多并行进程耗尽系统资源。multiline.pattern（如^\[%{TIMESTAMP_ISO8601}\]匹配时间戳开头）、multiline.negate（true表示匹配模式之外的行合并）和multiline.max_lines（单条日志最大行数，如500），避免因多行合并逻辑不当导致内存溢出。bulk_max_size（批量发送的最大事件数，如Elasticsearch输出调整为15000），增加单次请求的数据量，减少网络往返次数；配合flush_interval（批量发送的时间间隔，如1s），避免因事件量少而延迟发送。workers参数（如与ES节点数一致），提高并行发送能力，充分利用网络带宽。compression: gzip，将传输数据压缩（通常可减少50%-70%的带宽占用），尤其适合跨机房或高延迟网络环境。queue.type设置为persisted（持久化队列，避免进程重启丢失数据），并根据系统内存调整queue.max_bytes（队列最大字节数，如8GB）和flush.min_events（触发刷新的最小事件数，如1000），平衡内存使用与数据处理效率。harvester_buffer_size（每个harvester的缓冲区大小，如40MB），避免因缓冲区过小导致频繁读取磁盘；调整spool_size（spooler缓存的事件数，如25万）和idle_timeout（spooler超时时间，如1s），减少I/O操作次数。max_concurrent_files（最大并发文件数，如200）提高同时监控的文件数量；调整prospectors.publisher.worker（publisher worker数量，如CPU核心数的2倍），提升日志解析与发送的并行度。ulimit -n增加Filebeat的文件描述符限制（如65535），避免因监控大量文件导致“Too many open files”错误；使用systemd或cgroups限制Filebeat的CPU（如占用不超过50%）和内存使用（如不超过4GB），防止资源竞争影响系统稳定性。metricbeat模块监控Filebeat的关键指标（如harvester运行状态、发送队列长度、事件处理延迟、CPU/内存使用率），及时发现性能瓶颈。filebeat.yml中的exclude_lines（忽略无用行，如^DBG调试日志）、exclude_files（忽略压缩文件，如.gz）等过滤规则，减少不必要的数据处理；清理过期的注册表文件（位于registry目录），避免文件元数据占用过多磁盘空间。autodiscover参数（如基于容器标签或文件路径模式）自动监控新增日志文件，无需手动修改配置。processors配置，直接发送原始日志，减少CPU消耗。
