centos filebeat如何分卷

在 CentOS 上，Filebeat 本身并不支持“分卷（按大小/时间切割输出文件）”，因为 Filebeat 的定位是日志收集与转发，而不是日志切割工具。
如果你说的“分卷”是指把日志按大小或时间分成多个文件，通常有以下几种正确做法：

一、如果你是想“采集已分卷的日志”

这是最常见、推荐的做法。

1. 日志由系统自动分卷（如 logrotate）

CentOS 一般用 logrotate 做分卷：

/var/log/app/*.log {
    daily
    rotate 7
    size 100M
    copytruncate
    compress
}

Filebeat 只需监控目录：

filebeat.inputs:
- type: log
  paths:
    - /var/log/app/*.log

✅ Filebeat 会自动：

• 发现新文件
• 记录 offset
• 不重复采集

二、如果你是想“Filebeat 输出到文件并分卷”

❌ Filebeat 不支持

Filebeat 的 file output 不能按大小或时间滚动：

output.file:
  path: "/data/filebeat"
  filename: filebeat.out

⚠️ 这个文件会一直变大，不会自动分卷。

✅ 解决方案

用 Logstash / Kafka / 外部程序 接收后再分卷：

• Filebeat → Logstash → 文件（Logstash 可控制）
• Filebeat → Kafka → 消费者写分卷文件

三、如果你是想“Filebeat 采集大文件时分卷读取”

✅ Filebeat 本身就是流式读取

• 不会一次性加载整个文件
• 按行读取
• 支持断点续传

你不需要手动分卷。

四、如果你是想“按时间分卷采集”

用 processors + fields 并不能分文件，但可以打标签：

processors:
  - add_fields:
      fields:
        log_type: app

真正按时间分卷，应在 输出端（ES / Logstash） 做。

五、总结（重点）

如果你能具体说一下：

• 是 输入分卷 还是 输出分卷
• 最终要送到 ES / Kafka / 文件

我可以给你一份可直接用的配置。