在CentOS中，Filebeat的日志传输机制主要包括以下几个步骤：
日志文件监控：Filebeat作为轻量级代理安装在服务器上，负责监控指定的日志文件或日志目录。当Filebeat启动时，它会启动一个或多个探测器（Prospector），这些探测器会查找配置文件中指定的日志文件路径。
日志收集（Harvester）：对于每个由探测器找到的日志文件，Filebeat会启动一个Harvester。Harvester负责读取日志文件的新内容，并将这些新内容发送到libbeat进程。
事件聚合：libbeat进程负责聚合从Harvester接收到的事件，并将聚合后的数据发送到配置的输出。
日志传输：Filebeat支持将日志数据传输到多种目标，如Elasticsearch、Logstash、Kafka、Redis等。在配置中，可以指定输出的类型和目标服务器的地址。
状态持久化：Filebeat会记录每个文件的状态，包括读取的偏移量，以确保所有日志行都被发送。如果输出不可用，Filebeat会跟踪最后发送的行，并在输出再次可用时继续读取。
至少一次交付：Filebeat保证事件至少会被传送到配置的输出一次，并且不会丢失数据。它会存储每个事件的传递状态，并在输出确认接收之前不断尝试发送事件。
配置文件：Filebeat的配置文件（通常为filebeat.yml）用于定义输入、输出、日志文件路径、状态文件路径等参数。
加密传输：为了确保日志数据在传输过程中的安全，Filebeat支持使用TLS/SSL加密。需要生成SSL证书和密钥，并在Filebeat配置文件中指定这些证书和密钥的位置。
Filebeat通过这些机制，实现了从日志收集到传输的自动化，同时保证了日志数据的完整性和安全性。在CentOS系统上，Filebeat的安装和配置相对简单，可以通过包管理器进行安装，并且有详细的官方文档指导用户进行配置。