如何查debian filebeat日志

在 Debian 上排查 Filebeat 日志，通常可以从以下几个地方入手。

一、Filebeat 自身日志（最常用）

1. 使用 systemd（推荐）

如果 Filebeat 是通过 apt 安装的，一般使用 systemd 管理：

sudo journalctl -u filebeat -f

查看历史日志：

sudo journalctl -u filebeat --since "1 hour ago"

2. Filebeat 日志文件

Filebeat 默认日志路径：

/var/log/filebeat/filebeat

查看：

sudo tail -f /var/log/filebeat/filebeat

如果没看到日志，可能是配置了 logging.to_files: false。

二、检查 Filebeat 配置中的日志设置

编辑配置文件：

sudo vim /etc/filebeat/filebeat.yml

常见日志配置示例：

logging.level: info
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7

修改后重启：

sudo systemctl restart filebeat

三、测试 Filebeat 是否正常工作

1. 检查状态

sudo systemctl status filebeat

2. 手动测试配置

sudo filebeat test config
sudo filebeat test output

3. 查看采集情况

sudo filebeat inventory

四、采集目标日志（如 Nginx、系统日志）

例如你采集 /var/log/nginx/access.log，可检查：

ls -l /var/log/nginx/
sudo tail -f /var/log/nginx/access.log

并确认 Filebeat 有读取权限。

五、常见问题排查

1. 没日志输出

• Filebeat 没启动
• 输入路径写错
• 输出（Elasticsearch / Logstash）不可用

2. 权限问题

sudo usermod -aG adm filebeat
sudo systemctl restart filebeat

3. 查看详细调试日志

logging.level: debug

然后：

sudo systemctl restart filebeat

如果你愿意，可以告诉我：

• Filebeat 版本
• 输出到 Elasticsearch 还是 Logstash
• 具体想查什么问题（没数据 / 报错 / 权限）

我可以给你更精确的命令。