Debian如何配置Filebeat

下面以 Debian 11/12 为例，系统讲解如何安装和配置 Filebeat（Elastic 官方轻量级日志采集器）。

一、安装 Filebeat

方法 1：使用 APT（推荐）

sudo apt update
sudo apt install filebeat -y

安装完成后：

• 主配置文件：/etc/filebeat/filebeat.yml
• 模块目录：/etc/filebeat/modules.d/
• 服务名：filebeat

方法 2：使用 Elastic 官方仓库（版本更新）

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elastic-keyring.gpg

echo "deb [signed-by=/usr/share/keyrings/elastic-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic.list

sudo apt update
sudo apt install filebeat -y

二、基本配置（filebeat.yml）

示例：采集系统日志并发送到 Elasticsearch

编辑配置文件：

sudo nano /etc/filebeat/filebeat.yml

最小可用配置

filebeat.inputs:
  - type: filestream
    id: system-logs
    paths:
      - /var/log/*.log
      - /var/log/syslog

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "your_password"

setup.kibana:
  host: "http://localhost:5601"

⚠️ 如果是 Elasticsearch 8.x，默认开启安全认证，需要用户名密码或 API Key

三、使用 Filebeat 模块（推荐）

启用系统模块

sudo filebeat modules enable system

查看已启用模块

sudo filebeat modules list

模块配置文件位置

/etc/filebeat/modules.d/system.yml

四、初始化环境（重要）

第一次使用需要执行：

sudo filebeat setup

该命令会：

• 创建索引模板
• 创建 Dashboard
• 配置 ILM 策略

五、启动并设置开机自启

sudo systemctl enable filebeat
sudo systemctl start filebeat
sudo systemctl status filebeat

六、查看运行状态与日志

sudo filectl status
journalctl -u filebeat -f

测试配置是否正确：

sudo filebeat test config
sudo filebeat test output

七、常见输出方式

1️⃣ 输出到 Logstash

output.logstash:
  hosts: ["localhost:5044"]

2️⃣ 输出到 Kafka

output.kafka:
  hosts: ["kafka:9092"]
  topic: "filebeat-logs"

八、常见问题

❌ Filebeat 启动失败

检查：

• YAML 缩进是否正确
• Elasticsearch 是否可访问
• 防火墙 / 安全组

❌ 没有数据

sudo filebeat test output
sudo filebeat setup --dashboards

九、典型使用场景

• ✅ 系统日志采集
• ✅ Nginx / MySQL / Docker 日志
• ✅ Kubernetes 节点日志
• ✅ 安全审计（auditd）

如果你有 具体场景（如 Nginx、Docker、K8s、ELK 版本），我可以给你一份 针对性配置示例。