centos filebeat怎样调试

在 CentOS 上调试 Filebeat，通常从「看日志、提级别、验证配置、手动运行」几个方面入手。下面给你一套实用调试流程。

一、查看 Filebeat 日志（最重要）

1. 使用 systemd 方式运行

journalctl -u filebeat -f

2. 直接看日志文件（取决于配置）

tail -f /var/log/filebeat/filebeat.log

如果日志太少，说明日志级别太低。

二、提高日志级别（调试关键）

编辑配置文件：

vi /etc/filebeat/filebeat.yml

在顶部加：

logging.level: debug
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat.log
  keepfiles: 7

重启：

systemctl restart filebeat

然后观察：

tail -f /var/log/filebeat/filebeat.log

三、使用命令行直接调试（推荐）

1. 测试配置文件是否正确

filebeat test config

2. 测试输出（Elasticsearch / Logstash）

filebeat test output

四、手动前台运行（不依赖 systemd）

filebeat -e -c /etc/filebeat/filebeat.yml -d "*"

参数说明：

• -e：日志输出到终端
• -c：指定配置文件
• -d "*"：开启所有 debug 模块

适合快速看问题（如文件未读取、正则错误）。

五、确认输入是否被识别

1. 查看 Filebeat 是否在监控文件

filebeat -e -c /etc/filebeat/filebeat.yml -d "input,harvester"

常见现象：

• No files found for input
• File is inactive
• File was removed

六、常见问题排查清单

✅ 1. 文件权限问题

ls -l /var/log/xxx.log

Filebeat 用户（通常是 root 或 filebeat）必须有读权限。

✅ 2. SELinux 限制（CentOS 常见）

临时关闭测试：

setenforce 0

如解决，需配置 SELinux 或关闭。

✅ 3. inode / 文件轮转问题

确保：

scan_frequency: 10s

避免日志被 logrotate 后无法读取。

七、调试 Elasticsearch / Logstash 接收

Elasticsearch

filebeat test output

Logstash

确认：

• 端口通
• 防火墙开放

telnet logstash_ip 5044

八、总结调试顺序（推荐）

1. filebeat test config
2. filebeat test output
3. filebeat -e -d "*"
4. 看 filebeat.log
5. 检查权限 / SELinux

如果你愿意，可以贴出：

• filebeat.yml
• 报错日志
• 使用版本（CentOS / Filebeat 版本）

我可以帮你精确分析。