debian filebeat为何丢日志

在 Debian 上运行 Filebeat 出现“丢日志”的问题，通常不是真的“凭空丢失”，而是配置、系统或运行环境导致部分日志未被采集或发送。下面按常见原因 → 排查方法 → 解决建议来说明。

一、最常见原因（80% 场景）

1. 日志文件被轮转（log rotate）导致漏采

Debian 默认用 logrotate，常见行为：

• 文件重命名（app.log → app.log.1）
• 或 被 truncate（清空）
• 或 被删除重建

问题点：

• Filebeat 记录的是 inode
• 如果文件被删除并重建，inode 变化，旧 offset 失效
• 如果轮转太快、Filebeat 没及时读到，就会丢

✅ 解决：

filebeat.inputs:
- type: log
  paths:
    - /var/log/app/*.log
  scan_frequency: 1s
  close_inactive: 1h
  clean_inactive: 72h

并确保 logrotate 使用 copytruncate 或 Filebeat 能感知新文件。

2. Filebeat 未启动 / 被 systemd 重启

Debian 上 Filebeat 通常由 systemd 管理：

systemctl status filebeat
journalctl -u filebeat -n 100

常见问题：

• OOM 被杀
• 配置错误导致启动失败
• 磁盘满导致 Filebeat 崩

✅ 解决：

systemctl enable filebeat
systemctl restart filebeat

3. 输出队列/网络问题（ES / Logstash 没收到）

Filebeat 是异步发送的：

• 日志读了
• 但没发成功
• 看起来像“丢了”

检查：

filebeat test output

常见错误：

• ES 认证失败
• 网络抖动
• backoff 重试

✅ 解决：

output.elasticsearch:
  hosts: ["https://es:9200"]
  username: filebeat
  password: xxx

并开启：

queue.spool: true

4. 文件被忽略（exclude / harvester_limit）

配置中可能误伤：

exclude_files: ['.gz$']

或：

harvester_limit: 10

✅ 解决：

• 检查 exclude_files
• 临时调大 harvester_limit

二、Filebeat 自身机制导致“看似丢失”

5. 文件长时间不活跃被关闭

close_inactive: 5m

如果日志 10 分钟才写一次，就可能被关掉再打开，offset 可能异常。

✅ 建议：

close_inactive: 1h

6. registry 文件损坏

路径：

/var/lib/filebeat/registry

异常会导致：

• 重复采集
• 或跳过文件

✅ 解决（谨慎）：

systemctl stop filebeat
mv /var/lib/filebeat/registry /var/lib/filebeat/registry.bak
systemctl start filebeat

⚠️ 会重新采集所有日志

三、系统层面原因

7. 磁盘满（最容易忽略）

df -h

Filebeat：

• 写不了 registry
• 发不出去
• 直接停

8. inotify 限制（大量日志文件）

cat /proc/sys/fs/inotify/max_user_watches

✅ 解决：

echo 524288 > /proc/sys/fs/inotify/max_user_watches

四、快速自查清单 ✅

# 1. 状态
systemctl status filebeat

# 2. 日志
journalctl -u filebeat -n 200

# 3. 配置校验
filebeat test config
filebeat test output

# 4. 文件是否在被读
ls -l /var/lib/filebeat/registry

# 5. 磁盘
df -h

五、如果你愿意，我可以更精准帮你

你可以贴出：

1. filebeat.yml（敏感信息可打码）
2. 日志路径和轮转方式
3. 输出类型（ES / Logstash / Kafka）
4. 丢日志的时间特征（启动后？轮转后？高并发时？）

我可以直接帮你定位是哪一类丢日志。