centos下filebeat怎么用

在 CentOS 下使用 Filebeat（通常配合 Elasticsearch / Logstash / Kibana，即 ELK）一般流程如下：

一、安装 Filebeat

1. 使用官方 YUM 源（推荐）

sudo rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch

sudo cat > /etc/yum.repos.d/filebeat.repo <<EOF
[filebeat]
name=Elasticsearch repository for Filebeat
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

sudo yum install filebeat -y

⚠️ 版本号（8.x）可根据需要修改

二、配置 Filebeat

配置文件路径：

/etc/filebeat/filebeat.yml

示例：收集系统日志并发送到 Elasticsearch

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log
    - /var/log/messages

output.elasticsearch:
  hosts: ["http://localhost:9200"]

示例：发送到 Logstash

output.logstash:
  hosts: ["localhost:5044"]

三、启动与管理

# 设置开机自启
systemctl enable filebeat

# 启动
systemctl start filebeat

# 查看状态
systemctl status filebeat

# 查看日志
journalctl -u filebeat -f

四、测试配置是否正确

filebeat test config
filebeat test output

五、常见使用场景

1. 收集 Nginx 日志

filebeat.inputs:
- type: log
  paths:
    - /var/log/nginx/access.log
    - /var/log/nginx/error.log

2. 收集 Docker 日志

filebeat.inputs:
- type: container
  paths:
    - /var/lib/docker/containers/*/*.log

3. 使用 Module（推荐）

filebeat modules enable nginx
filebeat modules enable system

filebeat setup

六、常见问题

1. 没有数据？

• 检查 paths 是否正确
• 检查 Elasticsearch / Logstash 是否可访问
• 查看 /var/lib/filebeat/registry 是否记录位置

2. 权限问题

chmod 644 /var/log/messages

3. SELinux 影响

setenforce 0   # 临时关闭（测试用）

七、典型架构

应用日志 → Filebeat → Logstash → Elasticsearch → Kibana

或：

应用日志 → Filebeat → Elasticsearch → Kibana

如果你有 具体场景（如 Nginx、Docker、K8s、日志格式），可以告诉我，我可以给你更精确的配置。