Linux Filebeat怎样监控文件变化

Linux下Filebeat监控文件变化的配置步骤

1. 安装Filebeat

根据Linux发行版选择对应安装命令：

Ubuntu/Debian：sudo apt-get update && sudo apt-get install filebeat
CentOS/RHEL：sudo yum install filebeat -y
安装完成后，Filebeat主配置文件默认位于/etc/filebeat/filebeat.yml。

2. 配置监控路径（核心步骤）

编辑filebeat.yml，在filebeat.inputs部分添加/修改配置，指定要监控的文件或目录：

filebeat.inputs:
- type: log  # 监控日志文件类型（必选）
  enabled: true  # 启用该输入（必选）
  paths:  # 监控路径（必选，支持通配符）
    - /var/log/syslog  # 单个文件路径
    - /var/log/*.log  # 目录下所有.log文件
    - /var/log/nginx/*.log  # 特定目录的日志文件
  ignore_older: 72h  # 忽略超过72小时的旧文件（避免处理历史数据）

关键说明：

type: log：表示监控日志文件（Filebeat的核心输入类型）；
paths：支持通配符（*匹配任意字符，**匹配多层目录），可同时监控多个路径；
ignore_older：过滤旧文件，减少不必要的资源消耗。

3. 调整实时监控参数（优化性能）

Filebeat通过Input组件（扫描文件变更）和Harvester组件（读取文件内容）实现实时监控，需调整以下参数提升实时性：

filebeat.inputs:
- type: log
  ...
  scan_frequency: 5s  # 扫描文件变更的时间间隔（默认10s，越小越实时）
  close_inactive: 1m  # 文件无变更后关闭Harvester的时间（默认5m，需大于文件最大更新间隔）
  close_removed: true  # 文件被删除后关闭Harvester（避免监控无效文件）
  tail_files: false  # 是否从文件末尾开始读取（false表示从头开始，true适用于新文件）

参数逻辑：

scan_frequency：决定Filebeat检查文件变更的频率，缩短间隔可提高实时性，但会增加CPU负载；
close_inactive：当文件长时间无变更时，关闭Harvester以释放资源，建议设置为比文件最长更新间隔长（如文件每30秒更新一次，设置为1分钟）；
close_removed：防止文件被删除后，Filebeat仍尝试读取已不存在的文件。

4. 处理日志滚动（避免数据丢失）

当日志文件滚动（如logrotate切割日志，生成新文件）时，Filebeat需正确识别新文件并继续监控。通过上述close_inactive和scan_frequency参数组合可实现：

当旧文件停止更新后，close_inactive会关闭对应的Harvester；
scan_frequency会在后续扫描中发现新文件，并为其启动新的Harvester，确保新旧文件均被监控。

5. 启动与验证

启动Filebeat：sudo systemctl start filebeat
设置开机自启：sudo systemctl enable filebeat
检查状态：sudo systemctl status filebeat（显示“active (running)”表示运行正常）
查看日志：sudo journalctl -u filebeat -f（实时查看Filebeat运行日志，排查问题）
验证数据：若输出到Elasticsearch，可通过curl -X GET "localhost:9200/_cat/indices?v"查看是否有filebeat-*索引，确认数据是否发送成功。

6. 高级配置（可选）

解析日志格式：若日志为JSON格式，可添加processors解析字段：

filebeat.inputs:
- type: log
  ...
  processors:
    - decode_json_fields:
        fields: ["message"]  # 解析message字段中的JSON
        target: ""  # 解析后的字段存入根对象

过滤日志：排除不需要的日志行（如ERROR级别的日志）：

filebeat.inputs:
- type: log
  ...
  exclude_lines: ["ERROR"]  # 排除包含"ERROR"的行

设置输出：将数据发送到Elasticsearch或Logstash：

output.elasticsearch:
  hosts: ["localhost:9200"]  # Elasticsearch地址
# 或输出到Logstash
output.logstash:
  hosts: ["localhost:5044"]  # Logstash地址

以上配置完成后，Filebeat即可实时监控Linux系统中指定文件的变化，并将数据发送到后端服务进行分析。