centos filebeat如何转发

在 CentOS 上，Filebeat 转发日志通常分为三步：安装 → 配置输入（采集） → 配置输出（转发）。下面给你一个实用、可直接照做的方案。

一、安装 Filebeat（CentOS 7/8）

1. 使用 RPM 安装（推荐）

# 导入 Elastic GPG
sudo rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

# 添加 yum 源（示例为 8.x）
sudo cat > /etc/yum.repos.d/filebeat.repo <<EOF
[filebeat]
name=Elasticsearch repository for 8.x packages
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

sudo yum install filebeat -y

二、配置 Filebeat 转发（核心）

配置文件位置：

/etc/filebeat/filebeat.yml

示例 1：转发到 Elasticsearch

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/*.log
      - /opt/app/logs/*.log

output.elasticsearch:
  hosts: ["http://192.168.1.100:9200"]
  username: "elastic"
  password: "your_password"

示例 2：转发到 Logstash（更常见）

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/messages
      - /var/log/secure

output.logstash:
  hosts: ["192.168.1.200:5044"]

Logstash 需开启 beats 输入：

input {
  beats {
    port => 5044
  }
}

示例 3：转发到 Kafka（高并发场景）

output.kafka:
  hosts: ["kafka1:9092", "kafka2:9092"]
  topic: "filebeat-logs"

三、启动并设开机自启

# 测试配置
filebeat test config

# 启动
systemctl start filebeat

# 开机自启
systemctl enable filebeat

# 查看状态
systemctl status filebeat

四、常见转发排查

1. 看不到日志？

journalctl -u filebeat -f

2. 权限问题（读不到日志）

# Filebeat 用户需可读
chmod 644 /var/log/*.log

3. 使用 system 模块（系统日志）

filebeat modules enable system
filebeat setup

五、典型架构参考

应用日志 → Filebeat → Logstash → Elasticsearch → Kibana

如果你能告诉我：

• ✅ CentOS 版本
• ✅ 转发到哪（ES / Logstash / Kafka）
• ✅ 日志路径或类型

我可以给你一份完全定制化的 filebeat.yml。