filebeat在debian如何调试

在 Debian 上调试 Filebeat，一般从「日志、配置测试、运行模式、问题定位」几个方面入手。下面按实战流程给你一个清晰指南。

一、查看 Filebeat 日志（最重要）

1. 使用 systemd（最常见）

journalctl -u filebeat -f

查看历史日志：

journalctl -u filebeat --since "1 hour ago"

2. 直接看日志文件

tail -f /var/log/filebeat/filebeat

二、测试配置文件是否正确

filebeat test config -c /etc/filebeat/filebeat.yml

测试输出（如 Elasticsearch / Logstash）：

filebeat test output

如果有错误，会直接提示哪一行配置有问题。

三、以调试模式运行（不看 systemd）

1. 停止服务

systemctl stop filebeat

2. 前台运行 + debug 日志

filebeat -e -c /etc/filebeat/filebeat.yml -d "*"

常用 debug 模块：

-d "publish"
-d "registrar"
-d "harvester"
-d "input"

示例：

filebeat -e -c /etc/filebeat/filebeat.yml -d "harvester,publish"

-e：日志输出到终端
-d：开启 debug

四、确认 Filebeat 是否真正读到文件

1. 查看 input 状态

filebeat -e -c /etc/filebeat/filebeat.yml -d "input"

2. 查看 registrar 状态（记录文件读取位置）

cat /var/lib/filebeat/registry/filebeat/log.json | jq

或旧版本：

cat /var/lib/filebeat/registry | jq

五、常见问题排查清单

✅ 文件没被采集

路径是否写对（支持 glob）
文件是否已被 ignore_older 忽略
是否 exclude_files 排除
文件权限是否可读

✅ 权限问题

ps aux | grep filebeat

如果是 root 启动但文件属主是其他用户，注意：

processors:
  - add_fields:
      fields:
        test: true

✅ SELinux / AppArmor（Debian 少见但可能）

aa-status

六、开启 Filebeat 内部监控（推荐）

monitoring.enabled: true
monitoring.elasticsearch:
  hosts: ["http://localhost:9200"]

可在 Kibana → Stack Monitoring 中查看。

七、常用排查命令汇总

# 状态
systemctl status filebeat

# 配置测试
filebeat test config
filebeat test output

# 前台调试
filebeat -e -c /etc/filebeat/filebeat.yml -d "*"

# 日志
journalctl -u filebeat -f

如果你愿意，可以贴一下：

filebeat.yml 关键配置
想采集的日志路径
报错日志

我可以帮你精准定位问题。