ubuntu filebeat与logstash如何配合 - 问答

Filebeat和Logstash是Elastic Stack（以前称为ELK Stack）的两个关键组件，它们通常一起使用以收集、处理和转发日志数据。以下是如何在Ubuntu系统上配置Filebeat与Logstash配合工作的步骤：

1. 安装Filebeat

首先，你需要在你的Ubuntu系统上安装Filebeat。你可以从Elastic官方网站下载最新版本的Filebeat。

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt-get update && sudo apt-get install filebeat

请注意，上面的命令假设你想安装Elasticsearch 7.x版本的Filebeat。如果你想安装其他版本，请相应地更改URL。

2. 配置Filebeat

安装完成后，你需要配置Filebeat以指定要收集的日志文件以及要将这些日志发送到的Logstash实例。

编辑Filebeat配置文件，通常位于/etc/filebeat/filebeat.yml：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log # 指定要收集的日志文件路径

output.logstash:
  hosts: ["localhost:5044"] # Logstash实例的地址和端口

3. 安装和配置Logstash

接下来，在你的Ubuntu系统上安装Logstash：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
sudo apt-get update && sudo apt-get install logstash

创建或编辑Logstash配置文件，通常位于/etc/logstash/conf.d/filebeat.conf：

input {
  beats {
    port => 5044 # Filebeat发送数据到的端口
  }
}

filter {
  # 在这里添加你的过滤器配置
  # 例如，解析JSON日志、丢弃不需要的字段等
}

output {
  elasticsearch {
    hosts => ["localhost:9200"] # Elasticsearch实例的地址和端口
    index => "filebeat-%{+yyyy.MM.dd}" # 输出到Elasticsearch的索引名称
  }
}

4. 启动服务

启动Filebeat和Logstash服务：

sudo systemctl start filebeat
sudo systemctl enable filebeat

sudo systemctl start logstash
sudo systemctl enable logstash

5. 验证配置

确保Filebeat正在将日志发送到Logstash，并且Logstash正在处理并将数据转发到Elasticsearch。你可以使用以下命令检查Filebeat和Logstash的状态：

sudo systemctl status filebeat
sudo systemctl status logstash

此外，你还可以查看Elasticsearch中的索引以确认数据已成功导入。

通过以上步骤，你应该能够在Ubuntu系统上成功配置Filebeat与Logstash配合工作。根据你的具体需求，你可能需要调整配置文件中的路径、端口和其他设置。

0 赞

0 踩