debian下filebeat为何不采集

在 Debian 下 Filebeat 不采集（不发送、不读日志） 通常不是单一原因，下面按最常见 → 较少见的顺序给你排查清单，基本能覆盖 90% 的情况。

一、先看 Filebeat 是否真的在运行

systemctl status filebeat
journalctl -u filebeat -n 50

如果没启动：

systemctl start filebeat
systemctl enable filebeat

二、配置文件路径是否正确（Debian 特有坑）

Debian 下 Filebeat 默认配置路径是：

/etc/filebeat/filebeat.yml

而不是 /etc/filebeat.yml

✅ 检查：

ls -l /etc/filebeat/

❌ 常见错误：

• 改了 /etc/filebeat.yml（不存在）
• 实际用的还是 /etc/filebeat/filebeat.yml

三、input 是否真的匹配到日志文件

示例（✅ 正确）：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/*.log

❌ 常见错误：

• enabled: false
• paths 写错（少 *，路径不存在）
• 日志文件还没生成

验证：

ls -l /var/log/nginx/access.log

四、权限问题（Debian 最容易被忽略）

1️⃣ Filebeat 用户无读权限

Debian 下 Filebeat 默认用户：

filebeat

检查：

ps -ef | grep filebeat

如果日志文件权限是：

-rw------- root root

Filebeat 读不了

✅ 解决：

chmod 644 /var/log/nginx/*.log
# 或
usermod -aG adm filebeat

五、registry 文件导致“已采集过”假象

Filebeat 会记录已读位置：

/var/lib/filebeat/registry

如果你：

• 删过日志
• 换过容器
• 拷贝过文件

可能认为“已经采集完”

✅ 清空 registry（⚠️ 会重新采集）：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

六、output 配置错误或 ES 不可达

示例（ES）：

output.elasticsearch:
  hosts: ["http://localhost:9200"]

测试：

curl http://localhost:9200

如果是 logstash：

output.logstash:
  hosts: ["localhost:5044"]

验证端口：

ss -lntp | grep 5044

七、开启了 modules 但没enable

filebeat modules list
filebeat modules enable nginx

否则即使有日志也不采。

八、调试模式（最直接）

filebeat -e -c /etc/filebeat/filebeat.yml -d "*"

看是否有：

• harvester started
• publish events

九、快速自检清单 ✅

• [ ] systemctl status 正常
• [ ] 配置文件在 /etc/filebeat/filebeat.yml
• [ ] input enabled: true
• [ ] 路径真实存在
• [ ] filebeat 用户有读权限
• [ ] registry 没“假完成”
• [ ] output 可达

如果你愿意，可以把下面内容贴出来，我可以直接帮你定位：

1. /etc/filebeat/filebeat.yml
2. systemctl status filebeat
3. 日志路径和权限

我可以直接告诉你是哪一条卡住了。