centos为何filebeat无数据

在 CentOS 上 Filebeat 没有数据（无日志上报） 是很常见的问题，通常不是单一原因。下面按排查顺序给你一套系统思路，基本能覆盖 90% 的情况。

一、先确认 Filebeat 是否真的在跑

systemctl status filebeat
ps -ef | grep filebeat

如果没跑：

systemctl start filebeat
systemctl enable filebeat

查看日志：

journalctl -u filebeat -f
# 或
tail -f /var/log/filebeat/filebeat

二、检查 Filebeat 配置（最常见问题）

1️⃣ input 路径是否正确

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log

常见问题：

路径写错
文件不存在
用了 stdout 而不是 log
enabled: false

✅ 测试路径是否存在：

ls -l /var/log/xxx.log

2️⃣ 文件是否真的有“新内容”

Filebeat 只采集新增内容：

echo "test log" >> /var/log/xxx.log

如果文件一直没变化，Filebeat 不会发数据。

三、确认 output 配置是否正确

Elasticsearch 示例

output.elasticsearch:
  hosts: ["http://localhost:9200"]

Logstash 示例

output.logstash:
  hosts: ["localhost:5044"]

❌ 常见错误：

hosts 写错
端口不通
没开 security / token

测试连通性：

telnet localhost 5044
curl http://localhost:9200

四、看 Filebeat 自身有没有报错

filebeat -e -c /etc/filebeat/filebeat.yml

重点看：

connection refused
permission denied
no outputs configured

五、权限问题（CentOS 很常见）

1️⃣ Filebeat 用户无权读日志

ps -ef | grep filebeat

默认用户：filebeat

解决：

chmod 644 /var/log/xxx.log
# 或
setfacl -m u:filebeat:r /var/log/xxx.log

2️⃣ SELinux 拦截（CentOS 特有）

getenforce

如果是 Enforcing：

setenforce 0   # 临时

或放行：

ausearch -m avc -ts recent

六、Filebeat 注册表问题（老数据不采集）

Filebeat 用 registry 记录读取位置：

/var/lib/filebeat/registry

如果之前读过文件，再改内容也不会发。

✅ 清空 registry（测试用）：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

七、确认目标端确实没收到

Elasticsearch

GET filebeat-*/_search

Logstash

tail -f /var/log/logstash/logstash-plain.log

八、快速自检清单 ✅

[ ] filebeat 正在运行
[ ] input enabled = true
[ ] 路径真实存在
[ ] 文件有新内容
[ ] output 配置正确
[ ] 网络可达
[ ] 权限 & SELinux 正常
[ ] registry 正常

如果你愿意，可以把下面信息发我，我可以直接帮你定位：

filebeat.yml（脱敏）
systemctl status filebeat 输出
journalctl -u filebeat 报错

我可以一步一步帮你精确到行。