debian怎样调试filebeat

在 Debian 上调试 Filebeat，通常可以从日志、配置测试、命令行调试、系统服务状态几个方面入手。下面按实用顺序说明。

一、确认 Filebeat 是否正常运行

1. 查看服务状态

systemctl status filebeat

如果没启动：

systemctl start filebeat
systemctl enable filebeat

2. 查看 Filebeat 日志

Debian 上 Filebeat 默认日志位置：

journalctl -u filebeat -f

或查看日志文件（取决于配置）：

/var/log/filebeat/filebeat

二、测试配置文件是否正确

1. 测试配置语法

filebeat test config

输出类似：

Config OK

2. 测试输出（如 Elasticsearch / Logstash）

filebeat test output

三、开启调试模式（非常重要）

方法 1：命令行调试（推荐）

filebeat -e -d "*"

说明：

• -e：输出到 stderr（终端）
• -d "*"：开启所有调试模块

只调试某一部分：

filebeat -e -d "publish,registrar,input"

⚠️ 调试时建议先停掉 systemd 服务：

systemctl stop filebeat

方法 2：通过配置文件开启 debug

编辑 /etc/filebeat/filebeat.yml：

logging.level: debug
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7

然后重启：

systemctl restart filebeat

四、确认输入是否生效（文件是否被读取）

1. 查看 registry 文件

Filebeat 记录读取位置：

/var/lib/filebeat/registry/filebeat/data.json

或旧版本：

/var/lib/filebeat/registry

确认：

• 文件是否在 registry 中
• offset 是否在增长

2. 使用 harvester 调试

filebeat -e -d "harvester,input"

重点看：

• Start harvester
• File is inactive
• Skipping file

五、常见问题排查清单

✅ 文件权限问题

Filebeat 用户通常无 root 权限：

ps aux | grep filebeat

确保：

/var/log/xxx.log

对 filebeat 用户可读。

✅ 路径配置错误

filebeat.inputs:
- type: log
  paths:
    - /var/log/nginx/*.log

确认：

ls -l /var/log/nginx/

✅ 被 ignore_older 忽略

ignore_older: 24h

老文件不会读取。

✅ 输出失败（ES / Logstash）

filebeat test output

看：

• 网络是否通
• 认证是否正确
• 端口是否开放

六、示例：最小调试配置

filebeat.inputs:
- type: log
  paths:
    - /tmp/test.log

output.console:
  pretty: true

logging.level: debug

运行：

filebeat -e -c /etc/filebeat/filebeat.yml

七、常用命令总结

systemctl status filebeat
journalctl -u filebeat -f
filebeat test config
filebeat test output
filebeat -e -d "*"

如果你愿意，可以贴出：

• /etc/filebeat/filebeat.yml
• journalctl -u filebeat 报错日志

我可以帮你精确分析。