Filebeat 是一个轻量级的日志收集器，用于将日志文件或日志流发送到如 Elasticsearch 或 Logstash 等后端服务。在 CentOS 上配置 Filebeat 以实现日志转发通常涉及以下步骤：
安装 Filebeat: 首先，你需要在 CentOS 上安装 Filebeat。你可以从 Elastic 官方网站下载最新的 Filebeat 版本，或者使用包管理器安装。
使用包管理器安装（以 CentOS 7 为例）:
sudo yum install filebeat
配置 Filebeat:
安装完成后，你需要配置 Filebeat。配置文件通常位于 /etc/filebeat/filebeat.yml。你可以根据需要编辑此文件。
下面是一个基本的配置示例，它将 Filebeat 配置为读取 /var/log/*.log 文件，并将日志发送到 Elasticsearch：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.elasticsearch:
hosts: ["localhost:9200"]
如果你想将日志发送到 Logstash 而不是直接发送到 Elasticsearch，可以这样配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.logstash:
hosts: ["localhost:5044"]
启动 Filebeat: 配置完成后，你可以启动 Filebeat 服务：
sudo systemctl start filebeat
并设置开机自启：
sudo systemctl enable filebeat
验证 Filebeat 状态: 你可以通过以下命令检查 Filebeat 的状态：
sudo systemctl status filebeat
或者查看 Filebeat 的日志文件，通常位于 /var/log/filebeat/filebeat。
配置防火墙: 如果你的 Elasticsearch 或 Logstash 服务运行在不同的主机上，确保相应的端口（Elasticsearch 默认是 9200，Logstash 默认是 5044）在防火墙中是开放的。
例如，使用 firewall-cmd 命令开放端口：
sudo firewall-cmd --permanent --zone=public --add-port=9200/tcp
sudo firewall-cmd --permanent --zone=public --add-port=5044/tcp
sudo firewall-cmd --reload
安全考虑: 在生产环境中，你应该考虑启用 TLS 加密和安全认证，以保护你的日志数据在传输过程中的安全。
以上步骤提供了一个基本的 Filebeat 配置指南。根据你的具体需求，你可能需要调整输入和输出模块的配置，例如添加日志文件的路径、排除某些文件、设置日志字段等。更多高级配置选项可以在 Filebeat 官方文档中找到。
