debian的filebeat如何调试

在 Debian 上调试 Filebeat，通常从「日志 → 配置 → 命令行调试 → 模块/管道 → 系统服务」几个方面入手。下面给你一套实用调试流程。

一、查看 Filebeat 日志（最重要）

1. systemd 方式运行（最常见）

journalctl -u filebeat -f

2. 直接看日志文件

Debian 默认日志位置：

/var/log/filebeat/filebeat

查看最近错误：

tail -n 100 /var/log/filebeat/filebeat

二、使用命令行调试（推荐）

1. 测试配置文件是否正确

filebeat test config

2. 测试输出（Elasticsearch / Logstash）

filebeat test output

3. 前台运行（绕过 systemd）

systemctl stop filebeat
filebeat -e -c /etc/filebeat/filebeat.yml -d "*"

参数说明：

• -e：输出到 stderr
• -d "*"：开启所有 debug 日志（可调成 -d "publish,registrar"）

三、确认 Filebeat 是否真正在采集文件

1. 查看 registry（已读取位置）

/var/lib/filebeat/registry/filebeat/log.json

注意：Filebeat 7.x 之后 registry 是 data.json 或 log.json

2. 手动指定测试文件

filebeat.inputs:
- type: log
  paths:
    - /tmp/test.log

然后：

echo "hello filebeat" >> /tmp/test.log

观察 debug 输出。

四、调试模块（modules）

列出已启用模块

filebeat modules list

测试某个模块配置

filebeat modules enable system
filebeat test config

查看模块生成的 pipeline

filebeat export template

五、常见调试点（实战经验）

1. 文件没被采集

检查：

• paths 是否正确
• 文件是否 已被 rotate
• 权限是否可读

ls -l /var/log/xxx.log

2. 输出到 ES 失败

filebeat test output

常见原因：

• 用户名/密码错误
• HTTPS 证书问题
• ES 端口不通

3. 太多文件导致 harvester 卡住

harvester_limit: 100

六、开启详细 debug（生产慎用）

logging.level: debug
logging.selectors: ["*"]

或命令行：

filebeat -e -d "*"

七、快速排查清单 ✅

systemctl status filebeat
journalctl -u filebeat -n 50
filebeat test config
filebeat test output
filebeat -e -d publish

如果你愿意，可以贴出：

• Debian 版本
• Filebeat 版本
• filebeat.yml（脱敏）
• 具体报错日志

我可以直接帮你定位问题。