ubuntu filebeat怎样重发数据

在 Ubuntu 上，Filebeat 本身不支持“手动重发已经采集过的数据”，因为它的设计是一次读取、按位置(offset)推进。所谓“重发数据”，通常是通过让 Filebeat 重新读取日志文件来实现。

下面按常见场景说明做法。

一、让 Filebeat 重新发送某一日志文件（最常用）

原理

Filebeat 通过 registry 文件记录已读取位置：

/var/lib/filebeat/registry

只要删除或清理 registry，Filebeat 就会从头重新读日志。

步骤（推荐）

1. 停止 Filebeat

sudo systemctl stop filebeat

2. 备份并清空 registry

sudo mv /var/lib/filebeat/registry /var/lib/filebeat/registry.bak
sudo mkdir /var/lib/filebeat/registry

3. 启动 Filebeat

sudo systemctl start filebeat

✅ 效果：所有被监控的日志会重新发送一次

二、只重发某一个日志文件（更精细）

方法 1：修改文件 inode（不推荐）

如果日志文件被 truncate（> file.log），Filebeat 可能不会重读。

解决方式：

sudo mv app.log app.log.old
sudo touch app.log

然后让程序继续写 app.log

⚠️ 这样 app.log.old 不会再被监控

方法 2：使用 clean_* 参数（推荐）

编辑 /etc/filebeat/filebeat.yml：

filebeat.inputs:
- type: log
  paths:
    - /var/log/app/*.log
  clean_removed: true
  clean_inactive: 1h

然后：

sudo systemctl restart filebeat

三、重发“已经处理但丢失的数据”

情况：Elasticsearch / Logstash 没收到

✅ 只能重新读日志文件 （Filebeat 不保存已发数据副本）

如果日志已轮转删除：

• 无法恢复
• 建议开启 log rotation + 保留策略

四、测试时强制重发（调试用）

sudo systemctl stop filebeat
sudo rm -rf /var/lib/filebeat/registry
sudo systemctl start filebeat

五、防止误重发的建议

filebeat.registry.flush: 1s
queue.mem:
  events: 4096

并确保：

• 不要手动删日志
• 使用 logrotate 时加 copytruncate

六、总结

如果你能说明：

• 数据发到哪（ES / Kafka / Logstash）
• 是“丢失了”还是“想重新灌数据”

我可以给你更精确的操作方案。