filebeat在centos如何调试

在 CentOS 上调试 Filebeat，一般从「看日志、提级别、命令行测试、配置校验」几个方面入手。下面给你一套实用调试流程。

一、基础查看（先确认状态）

1. 查看 Filebeat 状态

systemctl status filebeat

2. 查看运行日志

journalctl -u filebeat -f

或（老版本）：

tail -f /var/log/filebeat/filebeat

二、开启 Debug 日志（最关键）

方法 1：命令行临时调试（推荐）

filebeat -e -d "*" -c /etc/filebeat/filebeat.yml

说明：

• -e：输出到 stderr（终端）
• -d "*"：开启所有 debug
• 可替换为：

  -d "publish,registrar,input"
  

⚠️ 一定要先停掉 systemd 的 filebeat：

systemctl stop filebeat

方法 2：配置文件开启 debug

编辑：

vim /etc/filebeat/filebeat.yml

logging:
  level: debug
  to_files: true
  files:
    path: /var/log/filebeat
    name: filebeat
    keepfiles: 7

重启：

systemctl restart filebeat

三、配置文件校验

1. 校验 YAML 语法

filebeat test config

2. 测试输出（非常重要）

filebeat test output

四、确认输入是否生效

1. 查看 Filebeat 采集到的文件

filebeat -e -d "input,harvester" -c /etc/filebeat/filebeat.yml

重点看：

• Starting harvester
• File is inactive
• No files found

五、Registry 文件问题（常见问题）

Filebeat 记录读取位置：

/var/lib/filebeat/registry/filebeat/log.json

如果“不采集旧日志”：

systemctl stop filebeat
rm -rf /var/lib/filebeat/registry
systemctl start filebeat

六、Elasticsearch / Logstash 调试

1. 直接输出到 console（最直观）

output.console:
  pretty: true

运行：

filebeat -e -c /etc/filebeat/filebeat.yml

2. 测试 Elasticsearch 输出

filebeat test output

七、SELinux 常见问题（CentOS 特有）

如果日志读不到：

getenforce

临时关闭：

setenforce 0

或添加策略：

semanage fcontext -a -t var_log_t "/your/log/path(/.*)?"
restorecon -Rv /your/log/path

八、常用调试组合（推荐）

systemctl stop filebeat
filebeat -e -d "input,harvester,publish" -c /etc/filebeat/filebeat.yml

九、总结速查表

如果你愿意，可以把：

• filebeat.yml
• 报错日志
• 使用场景（ES / Kafka / Logstash）

发出来，我可以帮你精准定位问题。