Filebeat 是一个轻量级的日志文件传输工具，用于将日志数据从源发送到如 Elasticsearch 或 Logstash 等后端服务。在 CentOS 上配置 Filebeat 以采集日志通常涉及以下步骤：
安装 Filebeat:
首先，你需要在 CentOS 上安装 Filebeat。你可以使用 yum 包管理器来安装它。
sudo yum install filebeat
配置 Filebeat:
安装完成后，你需要配置 Filebeat 来指定要采集的日志文件。配置文件通常位于 /etc/filebeat/filebeat.yml。
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
ignore_older: 72h
在上面的配置中，paths 指定了 Filebeat 应该监控的日志文件路径。ignore_older 设置了 Filebeat 忽略超过 72 小时的日志文件。
设置输出: 你需要指定 Filebeat 的输出目标。例如，如果你想将日志发送到 Elasticsearch，你可以这样配置：
output.elasticsearch:
hosts: ["localhost:9200"]
如果你想先通过 Logstash 处理日志，可以这样配置：
output.logstash:
hosts: ["localhost:5044"]
启动并启用 Filebeat: 配置完成后，你可以启动 Filebeat 服务，并设置为开机自启。
sudo systemctl start filebeat
sudo systemctl enable filebeat
验证 Filebeat 状态: 你可以使用以下命令来检查 Filebeat 的状态，确保它正在运行并且没有错误。
sudo systemctl status filebeat
调整防火墙设置 (如果需要): 如果你的 Elasticsearch 或 Logstash 服务不在本地运行，你可能需要调整防火墙设置以允许 Filebeat 与这些服务通信。
sudo firewall-cmd --permanent --zone=public --add-port=5044/tcp
sudo firewall-cmd --reload
上面的命令假设你的 Logstash 监听在默认的 5044 端口上。
查看日志:
如果遇到问题，你可以查看 Filebeat 的日志文件来获取更多信息。日志通常位于 /var/log/filebeat/filebeat。
请注意，这些步骤提供了一个基本的 Filebeat 配置示例。根据你的具体需求，你可能需要调整配置文件中的设置，例如添加认证信息、处理多个日志文件或目录、排除特定文件等。始终参考官方文档以获取最新和最详细的配置指南。
