debian filebeat怎么对接es

在 Debian 上把 Filebeat 对接 Elasticsearch（ES） 一般分为「安装 Filebeat → 配置 ES 地址 → 启动并验证」三步。下面给你一个可直接用的实战流程（以 Debian 11/12 为例，ES 假设为 7.x/8.x）。

一、安装 Filebeat（Debian）

1. 使用官方仓库（推荐）

sudo apt update
sudo apt install -y curl gnupg apt-transport-https

# 导入 Elastic GPG
curl -fsSL https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elastic-keyring.gpg

# 添加仓库
echo "deb [signed-by=/usr/share/keyrings/elastic-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list

sudo apt update
sudo apt install -y filebeat

如果是 ES 7.x，把 8.x 改成 7.x

二、配置 Filebeat 对接 ES

1. 编辑配置文件

sudo vim /etc/filebeat/filebeat.yml

2. 最小可用配置示例

✅ 直接写 ES（不通过 Logstash）

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/*.log
      - /var/log/nginx/access.log

output.elasticsearch:
  hosts: ["http://192.168.1.100:9200"]
  username: "elastic"
  password: "your_password"

setup.kibana:
  host: "http://192.168.1.100:5601"

如果是 ES 8.x + HTTPS

output.elasticsearch:
  hosts: ["https://192.168.1.100:9200"]
  username: "elastic"
  password: "your_password"
  ssl:
    ca_trusted_fingerprint: "xxxxxx"

三、加载索引模板（重要）

sudo filebeat setup --index-management -E output.elasticsearch.username=elastic -E output.elasticsearch.password=your_password

可选（对接 Kibana）：

sudo filebeat setup -E setup.kibana.host=http://192.168.1.100:5601

四、启动 Filebeat

sudo systemctl enable filebeat
sudo systemctl start filebeat
sudo systemctl status filebeat

五、验证是否对接成功

1. 看 Filebeat 日志

journalctl -u filebeat -f

2. 看 ES 是否收到数据

curl -u elastic:your_password http://192.168.1.100:9200/_cat/indices?v

应该能看到：

filebeat-8.x.x-YYYY.MM.DD

六、常见问题排查

❌ 连不上 ES

• 防火墙：9200
• ES 是否允许外网：network.host
• 用户权限（elastic 默认可用）

❌ 没数据

• filebeat.inputs.enabled: true
• 日志路径是否存在
• 文件是否已有内容（Filebeat 默认从尾部读）

七、常见变体

1️⃣ Filebeat → Logstash → ES

output.logstash:
  hosts: ["192.168.1.101:5044"]

2️⃣ 多行日志（如 Java）

multiline.pattern: '^\['
multiline.negate: true
multiline.match: after

如果你愿意，可以告诉我：

• ES 版本（7 还是 8）
• 是否开启 HTTPS / 安全认证
• 要采集什么日志（nginx / 系统 / 业务日志）

我可以直接给你定制版配置。