centos filebeat如何调试

在 CentOS 上调试 Filebeat，通常从日志、配置校验、运行状态、调试模式几个方面入手。下面按实战步骤说明。

一、查看 Filebeat 日志（最重要）

Filebeat 默认日志位置：

/var/log/filebeat/filebeat

实时查看：

tail -f /var/log/filebeat/filebeat

常见错误：

• No files found for prospector
• connection refused（输出端问题）
• permission denied（文件权限）

二、检查 Filebeat 状态

systemd 方式（常见）

systemctl status filebeat
journalctl -u filebeat -f

确认是否运行

ps -ef | grep filebeat

三、测试配置文件是否正确

filebeat test config

如果有错误，会直接提示哪一行。

四、测试输出（Elasticsearch / Logstash）

测试输出连接

filebeat test output

示例正常输出：

elasticsearch: https://127.0.0.1:9200...
  parse url... OK
  connection... OK

五、开启 Filebeat 调试模式（非常有用）

方法 1：命令行临时调试

filebeat -e -d "*" 

或指定模块：

filebeat -e -d "publish,registrar,input"

参数说明：

• -e：日志输出到终端
• -d：开启 debug

方法 2：配置文件开启 debug

编辑 /etc/filebeat/filebeat.yml：

logging.level: debug
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7

重启：

systemctl restart filebeat

六、确认输入文件是否被采集

查看 registry 文件

cat /var/lib/filebeat/registry/filebeat/data.json | python -m json.tool

可以看到：

• 文件是否被监控
• offset 是否在增长

七、常见问题排查清单

1. 文件权限问题

ls -l /var/log/xxx.log

Filebeat 用户：

ps -ef | grep filebeat

如无权限：

chmod 644 /var/log/xxx.log

或加入组：

usermod -aG adm filebeat

2. 文件路径写错

filebeat.inputs:
- type: log
  paths:
    - /var/log/nginx/*.log

测试：

ls /var/log/nginx/*.log

3. 多行日志未合并

multiline.pattern: '^\['
multiline.negate: true
multiline.match: after

4. Elasticsearch 没数据

• 索引是否存在

curl localhost:9200/_cat/indices

• 是否 pipeline 错误
• 是否 ILM 策略问题

八、快速排错命令总结

systemctl status filebeat
journalctl -u filebeat -f
filebeat test config
filebeat test output
filebeat -e -d "*"
tail -f /var/log/filebeat/filebeat

如果你愿意，可以贴：

• filebeat.yml
• 报错日志
• 使用的输出（ES / Logstash / Kafka）

我可以帮你精准定位问题。