如何调试debian filebeat

下面按常见排查路径给你一套在 Debian 上调试 Filebeat 的实用方法，从“看日志 → 看配置 → 看状态 → 抓数据”一步步来。

一、先看 Filebeat 日志（最重要）

systemd 方式运行的日志

sudo journalctl -u filebeat -f

或直接看日志文件

sudo tail -f /var/log/filebeat/filebeat

重点关注：

• connection refused
• no such file or directory
• Exponential backoff
• Harvester started / closed
• publish failed

二、确认 Filebeat 是否真的在跑

systemctl status filebeat

或

ps aux | grep filebeat

如果没跑：

sudo systemctl start filebeat
sudo systemctl enable filebeat

三、用 test 命令做“静态调试”

1️⃣ 检查配置文件语法

sudo filebeat test config

✅ 输出 Config OK 才算没问题

2️⃣ 检查输出（Elasticsearch / Logstash）

sudo filebeat test output

常见错误：

• 地址写错
• 端口不通
• 认证失败

四、开启 Debug 日志（非常有用）

临时开启 debug

sudo filebeat -e -d "*"

或编辑配置文件：

logging.level: debug
logging.to_files: true

然后重启：

sudo systemctl restart filebeat

五、确认输入配置是否正确

示例（/etc/filebeat/filebeat.yml）

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/*.log

检查：

• enabled: true
• 路径是否存在
• 文件权限是否可读

ls -l /var/log/nginx/
sudo -u filebeat cat /var/log/nginx/access.log

六、看 Filebeat 内部状态（高级）

sudo filebeat export config
sudo filebeat inspect

或直接看 registry（记录读取位置）：

cat /var/lib/filebeat/registry/filebeat/log.json | head

⚠️ 如果 registry 错乱，可删除（谨慎）：

sudo systemctl stop filebeat
sudo rm -rf /var/lib/filebeat/registry
sudo systemctl start filebeat

七、验证是否真的发数据了

Elasticsearch

curl -X GET "localhost:9200/filebeat-*/_search?pretty" -u elastic

Logstash

sudo tail -f /var/log/logstash/logstash-plain.log

八、最常见问题速查表

九、如果你愿意，我可以进一步帮你

你可以直接贴：

• filebeat.yml
• journalctl -u filebeat 报错
• 使用的输出（ES / Logstash / Kafka）

我可以精准指出问题点。