centos为何filebeat无日志

在 CentOS 上 Filebeat 没有日志输出，常见原因可以分成 配置问题、权限问题、采集路径问题、服务状态问题、输出目标问题 几类。下面按排查顺序给你一个实用清单。

一、先确认 Filebeat 是否在运行

systemctl status filebeat

或

ps -ef | grep filebeat

如果没运行：

systemctl start filebeat
systemctl enable filebeat

二、确认 Filebeat 自身日志（最关键）

Filebeat 自己的日志默认在：

/var/log/filebeat/filebeat

或

journalctl -u filebeat -f

重点看有没有：

• No files found for prospector
• permission denied
• connection refused
• setup.template failed

三、检查 filebeat.yml 配置（最常见问题）

1️⃣ input 路径是否正确

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/nginx/*.log

常见问题：

• 路径写错
• 没加 enabled: true
• 通配符不匹配（如 *.log 但文件是 access.log.1）

验证文件是否存在：

ls -l /var/log/nginx/*.log

2️⃣ 是否设置了 output

必须至少有一个 output，例如：

output.elasticsearch:
  hosts: ["http://localhost:9200"]

或

output.logstash:
  hosts: ["localhost:5044"]

如果只配了 input 没配 output，Filebeat 不会报错但也不发日志。

四、权限问题（CentOS 非常常见）

1️⃣ 文件权限

Filebeat 默认以 filebeat 用户运行：

ps -o user= -p $(pgrep filebeat)

如果日志文件不可读：

ls -l /var/log/xxx.log

解决：

chmod 644 /var/log/xxx.log

或加入组：

usermod -aG adm filebeat

2️⃣ SELinux（CentOS 特有坑）

查看 SELinux：

getenforce

如果是 Enforcing，可能阻止读取日志：

临时验证：

setenforce 0

如果这样就有日志了，说明是 SELinux 问题。

解决方式（推荐）：

setsebool -P filebeat_read_logs on

或添加策略（高级）。

五、确认日志文件“有变化”

Filebeat 只采集新增内容：

• 文件没更新 → 没日志
• 测试方式：

echo "test log" >> /var/log/xxx.log

六、registry 文件问题（老数据卡住）

Filebeat 记录读取位置：

/var/lib/filebeat/registry

如果位置异常，可清空（⚠ 会重新采集）：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

七、快速自检命令

filebeat test config
filebeat test output

八、常见总结（90% 原因）

✅ input 路径不对
✅ 没开 enabled: true
✅ 没配 output
✅ SELinux 拦截
✅ 文件无读权限
✅ 日志文件没新内容

如果你愿意，可以把 filebeat.yml（脱敏） + journalctl 报错 发出来，我可以直接帮你定位是哪一条。