centos怎么调试filebeat

在 CentOS 上“调试 Filebeat”通常分为几个层面：看日志、看状态、看配置是否生效、看能不能把数据发到后端（Elasticsearch / Logstash / Kafka）。下面按实用顺序给你一套排查思路。

一、先确认 Filebeat 是否正常运行

systemctl status filebeat

如果没启动：

systemctl start filebeat
systemctl enable filebeat

看进程：

ps -ef | grep filebeat

二、打开 Filebeat 调试日志（最重要）

1️⃣ 临时调试（推荐）

filebeat -e -d "*" -c /etc/filebeat/filebeat.yml

参数说明：

-e：输出到标准错误（终端）
-d "*"：打开所有 debug
-c：指定配置文件

⚠️ 会非常详细，适合排错

2️⃣ 修改配置文件（长期调试）

编辑 /etc/filebeat/filebeat.yml：

logging.level: debug
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7

然后重启：

systemctl restart filebeat

查看日志：

tail -f /var/log/filebeat/filebeat

三、检查配置是否正确（非常关键）

filebeat test config

输出：

Config OK

四、测试输入是否能读到日志

filebeat test output

验证是否能连上 Elasticsearch / Logstash。

五、确认是否真的在采集日志

1️⃣ 查看 Filebeat 内部状态（7.x+）

filebeat export config

或：

curl http://localhost:5066/stats

（如果开了 http 监控）

2️⃣ 查看 registry 文件

Filebeat 记录读取位置：

cat /var/lib/filebeat/registry/filebeat/data.json | jq

或：

ls -l /var/lib/filebeat/registry/

如果你发现 offset 不更新，说明：

日志没变化
权限不足
inode 变了（日志被 rotate）

六、常见 CentOS 特定问题

1️⃣ SELinux 导致读不了日志

临时关闭测试：

setenforce 0

永久解决：

ausearch -m avc -ts recent
setsebool -P filebeat_read_logs on

2️⃣ 权限问题

确保 filebeat 用户能读日志：

ls -l /var/log/xxx.log
id filebeat

3️⃣ 防火墙 / 网络问题

测试后端连通性：

telnet es-host 9200
curl http://es-host:9200

七、确认数据是否进 Elasticsearch

curl 'http://localhost:9200/_cat/indices?v'

或：

curl 'http://localhost:9200/filebeat-*/_count'

八、最小可用调试配置示例

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/test.log

output.console:
  pretty: true

直接前台跑：

filebeat -e -c filebeat.yml

九、快速排错清单 ✅

[ ] systemctl status 正常
[ ] filebeat test config 通过
[ ] debug 日志能看到 harvester
[ ] registry offset 在变化
[ ] output 能连上
[ ] ES 中有 filebeat 索引

如果你愿意，可以把：

Filebeat 版本
CentOS 版本
filebeat.yml（脱敏）
具体现象（采不到？发不出去？）

贴出来，我可以帮你精准定位问题。