centos filebeat为何收不到日志

在 CentOS 上 Filebeat 收不到日志 是很常见的问题，通常不是“filebeat 本身坏了”，而是配置、权限、路径或服务状态某一环不对。下面按最常见原因 → 排查方法 → 解决办法给你一个系统排查清单。

一、先确认 Filebeat 是否真的在跑

systemctl status filebeat

或

ps -ef | grep filebeat

✅ 正常应看到 filebeat 进程
❌ 如果没跑：

systemctl start filebeat
systemctl enable filebeat

二、日志路径是否“真的存在 & 匹配”

1️⃣ 检查 filebeat.yml 中的 paths

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/*.log

常见错误：

• 路径写错（如 /var/logs/xxx）
• 日志文件还没生成
• 用了通配符但目录为空

✅ 验证：

ls -l /var/log/nginx/*.log

三、权限问题（CentOS 最常见之一）

1️⃣ Filebeat 用户无读权限

CentOS 默认 filebeat 用户是 filebeat

id filebeat

检查日志权限：

ls -l /var/log/xxx/xxx.log

如果看到：

-rw------- root root

❌ filebeat 读不了

✅ 解决方式（任选）：

chmod 644 /var/log/xxx.log
# 或
setfacl -m u:filebeat:r /var/log/xxx.log

四、SELinux 导致“看不见”日志（CentOS 特有）

CentOS 默认开启 SELinux，经常导致 Filebeat 无法读取日志。

检查 SELinux 状态

getenforce

如果是 Enforcing：

临时验证

setenforce 0

再观察 filebeat 是否收到日志。

✅ 如果生效，说明是 SELinux 问题

永久解决（推荐）

setsebool -P filebeat_read_logs on

或修改日志文件 context：

semanage fcontext -a -t var_log_t "/var/log/xxx(/.*)?"
restorecon -Rv /var/log/xxx

五、确认 Output 是否正常（没报错≠成功了）

查看 filebeat 日志

journalctl -u filebeat -f

或

tail -f /var/log/filebeat/filebeat

常见错误：

• ES 连不上
• Kafka 认证失败
• 证书错误

六、日志“已读取过”的问题（很隐蔽）

Filebeat 有 registry 记录已读位置

如果你：

• 删了日志重新生成
• 或换了路径

可能导致“以为没新内容”

清 registry（谨慎）

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

七、确认 Input 是否 enabled

filebeat.inputs:
- type: log
  enabled: false   # ❌ 这样收不到

必须是：

enabled: true

八、快速自检清单（照着勾）

• [ ] filebeat 服务在运行
• [ ] paths 路径真实存在
• [ ] filebeat 用户有读权限
• [ ] SELinux 未拦截
• [ ] output 配置正确
• [ ] enabled: true
• [ ] registry 没“卡住”

九、如果你愿意，我可以直接帮你定位

你可以贴出：

1. filebeat.yml（重点 paths + output）
2. systemctl status filebeat
3. journalctl -u filebeat | tail -50

我可以直接告诉你是哪一步卡住了。