centos filebeat为何不采集

Filebeat 在 CentOS 上“不采集”通常不是单一原因，下面按最常见 → 较少见的顺序给你排查清单，基本能覆盖 90% 的情况。

一、先确认 Filebeat 是否在运行

systemctl status filebeat

或

ps -ef | grep filebeat

✅ 正常应看到 filebeat 进程
❌ 若没运行：

systemctl start filebeat
systemctl enable filebeat

二、filebeat.yml 配置是否正确（最常见）

1️⃣ 输入路径是否写对

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/*.log

❌ 常见错误：

enabled: false
路径写错（CentOS 日志常在 /var/log）
用了 Windows 路径风格

2️⃣ 输出配置是否正确

output.elasticsearch:
  hosts: ["http://localhost:9200"]

或

output.logstash:
  hosts: ["localhost:5400"]

❌ 错误示例：

只配了 input，没配 output
ES / Logstash 没启动或端口错

三、SELinux 导致无法读取日志（CentOS 特有高频坑）

getenforce

如果是 Enforcing：

解决方法（任选）

✅ 临时关闭测试：

setenforce 0

✅ 或给日志加权限：

chcon -R -t var_log_t /var/log/xxx

✅ 或永久关闭（不推荐生产）：

vi /etc/selinux/config
SELINUX=disabled

四、文件权限问题

Filebeat 默认以 root 或 filebeat 用户运行。

ls -l /var/log/xxx.log

若权限不足：

chmod 644 /var/log/xxx.log
chown root:root /var/log/xxx.log

五、注册表（registry）导致“已采集过”

Filebeat 会记录文件读取位置：

/var/lib/filebeat/registry

如果文件内容没变但你想重新采集：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

⚠️ 会重新采集所有日志

六、日志文件未“滚动”或正在写入

Filebeat 只采集新增内容：

echo "test log" >> /var/log/xxx.log

如果没反应，说明前面某一步有问题。

七、查看 Filebeat 自身日志（最重要）

journalctl -u filebeat -f

或

tail -f /var/log/filebeat/filebeat

常见错误：

connection refused
permission denied
no files found

八、快速自检脚本（推荐）

filebeat test config
filebeat test output

✅ 都显示 ok 才正常

九、最简可用示例（CentOS）

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/messages

output.console:
  pretty: true

filebeat -e -c filebeat.yml

能打印日志说明采集正常 ✅

如果你愿意，可以把下面信息发我，我可以直接帮你定位：

filebeat.yml
systemctl status filebeat
journalctl -u filebeat | tail -50