Filebeat 是一个轻量级的日志收集器，用于将日志文件或日志流发送到 Elasticsearch 或 Logstash。在 Ubuntu 上配置 Filebeat 进行日志转发的步骤如下：
安装 Filebeat： 首先，你需要在你的 Ubuntu 系统上安装 Filebeat。你可以使用以下命令来安装它：
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt-get update && sudo apt-get install filebeat
请注意，上面的命令是针对 Elasticsearch 7.x 版本的。如果你使用的是不同的版本，请相应地更改仓库地址。
配置 Filebeat：
安装完成后，你需要配置 Filebeat。配置文件通常位于 /etc/filebeat/filebeat.yml。你可以使用文本编辑器打开并编辑它：
sudo nano /etc/filebeat/filebeat.yml
在配置文件中，你需要设置 output.elasticsearch 或 output.logstash 来指定日志发送到的目标。例如，如果你想将日志发送到本地的 Logstash 实例，你可以这样配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.logstash:
hosts: ["localhost:5044"]
如果你想直接发送到 Elasticsearch，可以这样配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
output.elasticsearch:
hosts: ["localhost:9200"]
根据你的需求，你可能需要调整输入路径和其他设置。
启动并启用 Filebeat： 配置完成后，你可以启动 Filebeat 并设置为开机自启：
sudo systemctl start filebeat
sudo systemctl enable filebeat
验证 Filebeat： 你可以通过查看 Filebeat 的日志来验证它是否正在运行并成功连接到 Elasticsearch 或 Logstash：
sudo journalctl -u filebeat -f
如果一切正常，你应该能看到 Filebeat 正在发送日志事件的信息。
请记住，这些步骤可能会根据你的具体需求和环境有所不同。务必参考官方文档来获取最新和最准确的配置信息。
