如何调试Debian的Filebeat

在 Debian 系统上调试 Filebeat，一般可以从 状态检查、日志、配置验证、调试模式、数据流向 这几个层面入手。下面给你一套比较完整的调试思路。

一、基础状态检查

1. 查看 Filebeat 服务状态

systemctl status filebeat

如果未启动：

systemctl start filebeat
systemctl enable filebeat

2. 查看 Filebeat 是否正常运行

ps aux | grep filebeat

二、查看 Filebeat 日志（最重要）

1. 使用 journalctl（推荐）

journalctl -u filebeat -f

2. 查看日志文件

默认路径：

/var/log/filebeat/filebeat

或者：

ls /var/log/filebeat/

查看最近日志：

tail -f /var/log/filebeat/filebeat

三、验证配置文件

1. 检查配置语法

filebeat test config

常见错误：

• YAML 缩进错误
• 缺少 : 或 -
• paths 路径不对

2. 测试输出连接（Elasticsearch / Logstash）

filebeat test output

常见失败原因：

• Elasticsearch 地址错误
• 用户名 / 密码错误
• 端口被防火墙拦截

四、开启调试模式（高级排查）

1. 临时调试运行（不启动 systemd）

filebeat -e -d "*"

常用参数：

• -e：输出到标准错误
• -d "*"：开启所有调试
• -d "publish"：只调试数据发送
• -d "files"：只调试文件采集

示例：

filebeat -e -d "files,publish"

2. 只打印采集到的日志（不发送到 ES）

filebeat -e -v

五、检查 Filebeat 是否采集到文件

1. 查看 registry 文件

ls /var/lib/filebeat/registry/

如果文件没有被采集，常见原因：

• 文件太旧（默认忽略 24 小时前修改的文件）
• inode 复用
• 权限不足

2. 跳过修改时间限制（调试用）

在 filebeat.yml 中：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/test.log
  ignore_older: 0

六、测试输出是否正确

1. 输出到控制台（强烈推荐调试）

output.console:
  pretty: true

然后运行：

filebeat -e

如果能看到 JSON 输出，说明采集没问题，问题在输出侧。

2. 输出到 Elasticsearch 示例

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "xxx"

七、常见错误及排查

1. 权限问题

chmod 644 /var/log/xxx.log

或：

usermod -aG adm filebeat
systemctl restart filebeat

2. 无日志输出

检查：

• log path 是否真实存在
• 是否有新日志写入
• include_lines / exclude_lines 是否误过滤

3. Elasticsearch 无数据

确认：

• 索引是否存在

curl -X GET "localhost:9200/_cat/indices?v"

八、典型调试流程（推荐）

1. systemctl status filebeat
2. journalctl -u filebeat -f
3. filebeat test config
4. filebeat test output
5. filebeat -e -d "*"
6. 切换 output.console 验证采集

如果你愿意，可以把下面信息贴出来，我可以帮你精准定位：

• Debian 版本
• Filebeat 版本
• filebeat.yml 相关配置
• 报错日志（粘贴关键部分即可）