centos filebeat为何不收集日志

在 CentOS 上 Filebeat 不收集日志，通常不是单一原因，而是配置、权限、路径、服务状态或系统环境中的某一项出了问题。下面按最常见 → 较少见的顺序，系统性帮你排查。

一、先确认 Filebeat 是否正常运行

systemctl status filebeat

✅ 正常状态应为 active (running)
❌ 如果不是，先启动：

systemctl start filebeat
systemctl enable filebeat

查看启动失败原因：

journalctl -u filebeat -n 50

二、检查 Filebeat 配置（最常见原因）

配置文件位置：

/etc/filebeat/filebeat.yml

1️⃣ 是否正确配置了 paths

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/access.log
    - /var/log/messages

✅ 常见错误：

• enabled: false
• paths 写错或目录不存在
• 使用了 Windows 路径（如 C:\）

2️⃣ 是否真的有日志文件

ls -l /var/log/messages
ls -l /var/log/nginx/

⚠️ 注意：

• 空文件 Filebeat 默认不采集
• 目录不会自动递归（除非用 /*.log）

✅ 正确示例：

paths:
  - /var/log/nginx/*.log

三、权限问题（CentOS 非常常见）

1️⃣ Filebeat 是否有权限读取日志

ps -ef | grep filebeat

通常是 root 或 filebeat 用户运行。

测试权限：

sudo -u filebeat cat /var/log/messages

❌ 如果报错：

Permission denied

✅ 解决方案：

方法 1：加到 adm 组（推荐）

usermod -aG adm filebeat
systemctl restart filebeat

方法 2：修改日志权限（不推荐生产）

chmod 644 /var/log/messages

2️⃣ SELinux 阻止（CentOS 特有）

查看 SELinux 状态：

getenforce

如果是 Enforcing，可能是原因。

✅ 临时验证：

setenforce 0
systemctl restart filebeat

如果 关闭 SELinux 后就能收集，说明是 SELinux 问题。

✅ 正确做法（不关 SELinux）：

setsebool -P daemons_enable_cluster_mode 1

或允许 Filebeat 读取日志：

semanage fcontext -a -t var_log_t "/var/log(/.*)?"
restorecon -Rv /var/log

四、确认 Filebeat 是否真的没有采集

1️⃣ 查看 Filebeat 自身日志

journalctl -u filebeat -f

或：

tail -f /var/log/filebeat/filebeat

常见错误：

• No such file or directory
• Permission denied
• harvester closed

2️⃣ 查看 registry（Filebeat 记录采集位置）

ls /var/lib/filebeat/registry/

如果 registry 损坏，可清空（⚠️ 会重新采集）：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

五、输出目标问题（不是不采集，而是没看到）

1️⃣ 是否配置了 output

output.elasticsearch:
  hosts: ["http://localhost:9200"]

# 或

output.logstash:
  hosts: ["localhost:5044"]

❌ 错误示例：

output.elasticsearch:

（hosts 没写）

2️⃣ 用 stdout 测试是否采集成功

output.console:
  pretty: true

然后：

filebeat -e -c /etc/filebeat/filebeat.yml

✅ 如果能在终端看到日志，说明 采集没问题，问题在输出

六、日志轮转（logrotate）问题

如果日志被 logrotate 切割，Filebeat 可能停止采集。

✅ 建议配置：

filebeat.inputs:
- type: log
  paths:
    - /var/log/nginx/*.log
  scan_frequency: 10s
  ignore_older: 24h

七、典型排查清单（快速）

✅ 快速自检：

systemctl status filebeat
filebeat test config
filebeat test output

八、如果你愿意，我可以精准定位

你可以直接贴出以下信息（去掉敏感 IP）：

1. /etc/filebeat/filebeat.yml
2. systemctl status filebeat
3. journalctl -u filebeat -n 30
4. 要采集的日志路径

我可以 直接帮你指出是哪一行配置导致不采集 ✅