如何调试CentOS Filebeat

调试 CentOS 上的 Filebeat 可以按照“由易到难、由日志到行为”的思路来逐步排查。下面是一套比较系统、实战性强的调试方法。

一、查看 Filebeat 服务状态（最基础）

systemctl status filebeat

常见状态说明

• active (running)：服务正常
• failed：启动失败（需查看日志）
• inactive：未启动

重启 / 停止 / 启动：

systemctl restart filebeat
systemctl stop filebeat
systemctl start filebeat

二、查看 Filebeat 日志（最重要）

默认日志位置

journalctl -u filebeat -f

或

/var/log/filebeat/filebeat

实时查看日志

tail -f /var/log/filebeat/filebeat

重点关注：

• 是否能读到文件（Harvester started）
• 是否有 ES / Logstash 连接错误
• 是否有 JSON / 正则解析失败

三、以调试模式运行（强烈推荐）

1️⃣ 前台运行（不看 systemd）

filebeat -e -d "*"

• -e：输出到 stdout
• -d "*"：开启所有调试信息（可缩小范围）

2️⃣ 只调试部分模块

filebeat -e -d "publish,harvester,input"

适合排查：

• 是否抓到日志
• 是否发送给 ES / Logstash
• 是否因正则卡住

四、测试配置文件是否合法

filebeat test config

或指定配置：

filebeat -c /etc/filebeat/filebeat.yml test config

常见错误

• YAML 缩进错误
• 字段名拼写错误
• processors 配置错误

五、测试输出（Elasticsearch / Logstash）

1️⃣ 测试输出连通性

filebeat test output

2️⃣ 常见错误示例

Connection refused

✅ 检查：

• ES / Logstash 是否启动
• 端口是否正确（9200 / 5044）
• 防火墙 / SELinux

六、确认日志文件是否被正确采集

1️⃣ 查看 Filebeat 数据目录

ls /var/lib/filebeat/registry/

registry 记录 Filebeat 已读取文件的 offset

2️⃣ 删除 registry（慎用）

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

✅ 会重新采集所有日志

七、查看 Filebeat 是否真的在“读文件”

使用调试模式观察

filebeat -e -d "harvester"

你应该看到类似：

Harvester started for file: /var/log/nginx/access.log

如果没有：

• 文件路径错误
• 权限不足
• 文件被忽略（symlink / 旧文件）

八、权限问题（CentOS 非常常见）

1️⃣ Filebeat 是否能读日志

sudo -u filebeat cat /var/log/nginx/access.log

2️⃣ 解决方案

chmod 644 /var/log/nginx/access.log

或

usermod -aG root filebeat

九、SELinux 导致无法读取文件（CentOS 特有）

查看 SELinux 状态

getenforce

临时关闭测试

setenforce 0
systemctl restart filebeat

如恢复正常，可：

• 永久关闭（不推荐）
• 或设置 SELinux 策略

十、常用 Filebeat 调试 checklist ✅

✅ 配置文件语法正确
✅ 日志路径真实存在
✅ 输出地址可达
✅ 无权限问题
✅ registry 没“卡死”
✅ SELinux 未拦截

十一、示例：调试一个常见场景

症状：Filebeat 启动正常，但 ES 中没数据
排查顺序：

1. systemctl status filebeat
2. filebeat test output
3. filebeat -e -d publish
4. 查看 registry
5. 删除 registry 重采

如果你愿意，可以把这些信息贴出来，我可以帮你精确定位问题：

• /etc/filebeat/filebeat.yml 配置
• systemctl status filebeat
• journalctl -u filebeat 日志片段
• 你想采集的日志路径

我可以一步一步帮你调 ✅