debian下filebeat怎么配置

在 Debian 下配置 Filebeat（以官方仓库安装为例，适用于 Filebeat 7.x / 8.x），一般流程如下：

一、安装 Filebeat（Debian）

1. 使用官方 APT 源安装（推荐）

sudo apt update
sudo apt install -y curl gnupg apt-transport-https

# 导入 Elastic GPG Key
curl -fsSL https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elastic-keyring.gpg

# 添加 APT 源
echo "deb [signed-by=/usr/share/keyrings/elastic-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list

sudo apt update
sudo apt install filebeat

如果用 7.x：packages/7.x/apt

二、Filebeat 配置目录结构

/etc/filebeat/
├── filebeat.yml        # 主配置文件
└── modules.d/          # 模块配置（nginx、system、mysql 等）

三、基础配置示例（收集日志 → Elasticsearch / Logstash）

示例 1：收集系统日志 → Elasticsearch

编辑配置文件：

sudo nano /etc/filebeat/filebeat.yml

filebeat.inputs:
  - type: filestream
    id: system-log
    paths:
      - /var/log/syslog
      - /var/log/auth.log

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "your_password"

setup.kibana:
  host: "http://localhost:5601"

示例 2：收集日志 → Logstash

filebeat.inputs:
  - type: filestream
    id: app-log
    paths:
      - /var/log/myapp/*.log

output.logstash:
  hosts: ["localhost:5044"]

四、使用 Filebeat 模块（推荐）

启用模块（如 system / nginx）

sudo filebeat modules enable system
sudo filebeat modules enable nginx

查看已启用模块

sudo filebeat modules list

模块配置示例

sudo nano /etc/filebeat/modules.d/nginx.yml

- module: nginx
  access:
    enabled: true
    var.paths: ["/var/log/nginx/access.log"]
  error:
    enabled: true
    var.paths: ["/var/log/nginx/error.log"]

五、初始化并启动 Filebeat

1. 加载索引模板（首次）

sudo filebeat setup

2. 启动并设置开机自启

sudo systemctl enable filebeat
sudo systemctl start filebeat

3. 查看状态

sudo systemctl status filebeat
journalctl -u filebeat -f

六、常见问题排查

1. 权限问题

Filebeat 需读取日志：

sudo usermod -aG adm filebeat

2. 测试配置

sudo filebeat test config
sudo filebeat test output

3. 日志位置

/var/log/filebeat/filebeat

七、最小可用配置（快速测试）

filebeat.inputs:
  - type: filestream
    paths:
      - /var/log/syslog

output.console:
  pretty: true

运行测试：

sudo filebeat -e -c /etc/filebeat/filebeat.yml

如果你有 具体场景（如 Docker 日志、Kafka 输出、Elasticsearch 安全认证），可以告诉我，我给你定制配置。