debian里filebeat怎么看日志

在 Debian 里，Filebeat 本身不“存”日志让你看，它负责采集日志并发送（通常发给 Elasticsearch / Logstash）。你一般要从以下几个地方“看日志”：

一、看 Filebeat 自己的运行日志（最常用）

1️⃣ systemd 方式（最常见）

如果你是用 apt 安装的 Filebeat：

sudo journalctl -u filebeat

实时查看：

sudo journalctl -u filebeat -f

只看最近 100 行：

sudo journalctl -u filebeat -n 100

2️⃣ Filebeat 日志文件（如果有配置）

有些版本会写日志文件，通常在：

/var/log/filebeat/filebeat

查看：

sudo tail -f /var/log/filebeat/filebeat

二、看 Filebeat 配置是否正确

配置文件位置：

/etc/filebeat/filebeat.yml

检查配置语法：

sudo filebeat test config

测试输出连接（ES / Logstash）：

sudo filebeat test output

三、看 Filebeat 采集了哪些文件

sudo filebeat inventory

或者看 registry 文件（记录采集进度）：

/var/lib/filebeat/registry

（⚠️ 不要手动改）

四、看“被采集的日志”本身

Filebeat 只是转发，原始日志一般在这里：

• Nginx

  /var/log/nginx/
  

• 系统日志

  /var/log/syslog
  

• 自定义应用
  看你 filebeat.yml 里 paths 配置

五、看最终日志（ES / Kibana）

如果 Filebeat → Elasticsearch：

• Kibana → Discover
• 索引一般类似：

  filebeat-*
  

六、排错常用命令总结

# 看状态
systemctl status filebeat

# 重启
sudo systemctl restart filebeat

# 看错误
sudo journalctl -u filebeat -p err

如果你愿意，可以告诉我：

• ✅ Filebeat 发到哪里（ES / Logstash / 直接文件）
• ✅ 你是“想看 Filebeat 报错”还是“想看业务日志”

我可以给你更精确的命令。